FICHE CVE

CVE-2026-56669

Publiée le 2026-07-08 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les applications conçues avec le framework TypeScript Elysia (avant la version 1.4.29) sont vulnérables à une attaque par déni de service. Un attaquant non authentifié peut faire planter ou geler votre serveur en envoyant une requête `multipart/form-data` spécialement conçue contenant un grand nombre de paires clé-valeur uniques, ce qui sature le processeur. Cette attaque est facile à exécuter à distance via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-407 CWE-436

Publiée2026-07-08

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Elysia is a Typescript framework for request validation, type inference, OpenAPI documentation, and client-server communication. Prior to 1.4.29, Elysia uses getAll in form data normalization for multipart/form-data endpoints, causing the amount of work to grow quadratically with the number of unique key-value pairs and allowing CPU exhaustion. This issue is fixed in version 1.4.29.