Fastify multipart CVE-2026-117531はMedium―不正アップロードによるDoSを修正

Fastifyは2026年11月2日、Node.js向けのアップロード用プラグイン@fastify/multipartのCVE-2026-117531を公表しました。影響範囲は5.3.0以上10.1.7未満、修正版は10.1.7です。開発元のCVSS v3.1評価は5.9、Moderate（本媒体の表示はMedium）です。

問題は、不正なmultipartデータを解析した際のエラーがファイルストリームへ伝わらないことです。request.parts()でファイルを受け取り、別の非同期処理を挟んでからpipeline()やtoBuffer()で読み取る実装では、処理が終了せず接続が残る可能性があります。繰り返されるとサーバーの資源を消費するDoSにつながります。

対象となるのは、ファイル部分の途中で終わり、終端の境界文字列がないリクエストなどです。クライアントの切断やファイルサイズ上限超過を伴わない条件でも起きるため、サイズ制限を設けたことだけでは修正の代わりになりません。

10.1.7では解析エラーをストリームへ伝え、遅れて読み取りを始めた処理もエラーで終了させます。公式な回避策は示されていません。導入版と読み取り前の非同期処理を確認し、更新後は通常のアップロードに加えて不正な入力で接続が終了することを確認してください。