Unlimited consumption of resources in @fastify/multipart

CAO 7.5CVE-2025-24033 · GHSA-27c6-mcxv-x3fh · Công bố 23/01/2025 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-24033 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng @fastify/multipart.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.60%, cao hơn 48.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.0.3, 8.3.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
@fastify/multipart npm	`≥ 9.0.0, < 9.0.3< 8.3.1`	`9.0.38.3.1`

Mô tả

Impact

The saveRequestFiles function does not delete the uploaded temporary files when user cancels the request.

Patches

Fixed in version 8.3.1 and 9.0.3

Workarounds

Do not use saveRequestFiles.

References

This was identified in https://github.com/fastify/fastify-multipart/issues/546 and fixed in https://github.com/fastify/fastify-multipart/pull/567.

Mô tả của NVD

@fastify/multipart is a Fastify plugin for parsing the multipart content-type. Prior to versions 8.3.1 and 9.0.3, the `saveRequestFiles` function does not delete the uploaded temporary files when user cancels the request. The issue is fixed in versions 8.3.1 and 9.0.3. As a workaround, do not use `saveRequestFiles`.