Unlimited consumption of resources in @fastify/multipart

高 7.5CVE-2025-24033 · GHSA-27c6-mcxv-x3fh · 23/01/2025 公開 · 17/06/2026 更新

要点

CVE-2025-24033 は @fastify/multipart に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.60%（全脆弱性の 48.8% より高い）。
対処：9.0.3, 8.3.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
@fastify/multipart npm	`≥ 9.0.0, < 9.0.3< 8.3.1`	`9.0.38.3.1`

概要

Impact

The saveRequestFiles function does not delete the uploaded temporary files when user cancels the request.

Patches

Fixed in version 8.3.1 and 9.0.3

Workarounds

Do not use saveRequestFiles.

References

This was identified in https://github.com/fastify/fastify-multipart/issues/546 and fixed in https://github.com/fastify/fastify-multipart/pull/567.

NVD の説明

@fastify/multipart is a Fastify plugin for parsing the multipart content-type. Prior to versions 8.3.1 and 9.0.3, the `saveRequestFiles` function does not delete the uploaded temporary files when user cancels the request. The issue is fixed in versions 8.3.1 and 9.0.3. As a workaround, do not use `saveRequestFiles`.