CVE-2026-12143

form-data oxunaqlı multipart/form-data axınları yaratmaq üçün nəzərdə tutulmuş kitabxanadır. 4.0.5 daxil olmaqla əvvəlki versiyalarda, `FormData#append` funksiyasının `field` arqumenti və `filename` seçimi, carriage return (CR), line feed (LF) və ya qoşa dırnaq (") simvolları ekranlaşdırılmadan birbaşa `Content-Disposition` başlığına birləşdirilir. Hücumçunun idarə etdiyi məlumatları sahə adı və ya fayl adı kimi ötürən tətbiqlər (məsələn, JSON obyekt açarlarını multipart sahə adlarına çevirən API şlüzü), hücumçuya başlıq sətrini sonlandırmağa və tətbiqin backend-ə yönləndirdiyi sorğuya əlavə başlıqlar yerləşdirməyə və ya bütöv əlavə multipart hissələri sızdırmağa imkan verir. Bu, hücumçuya aşağı axındakı analizçi (parser) tərəfindən görünən forma sahələrini əlavə etməyə və ya onları dəyişdirməyə (məsələn, `is_admin=true` təyin etməyə) şərait yarada bilər. Bu, CWE-93 (CRLF injection) nümunəsidir. Düzəliş, WHATWG HTML multipart/form-data kodlaşdırma alqoritminə uyğun olaraq brauzerlərin istifadə etdiyi seriyallaşdırmanı təkrar edir və sahə adları ilə fayl adlarında CR, LF və `"` simvollarını müvafiq olaraq `%0D`, `%0A` və `%22` kimi ekranlaşdırır. İstismar üçün istehlakçı tətbiqin etibarsız giriş məlumatlarını sahə adı və ya fayl adı kimi istifadə etməsi tələb olunur; yalnız sabit/etibarlı sahə adlarından istifadə edən tətbiqlər bundan təsirlənmir. Problem 2.5.6, 3.0.5 və 4.0.6 versiyalarında düzəldilmişdir.