CVE-2026-74866

@fastify/busboy Node.js üçün multipart form-data analizatorudur. Onun multipart hissə-başlıq (part-header) analizatoru başlıq sətirlərini yalnız iki baytlıq carriage-return line-feed ardıcıllığı ilə bölür, buna görə də hissə başlığında yerləşən tək carriage return və ya line feed simvolu sətir fasiləsi kimi qəbul edilmir və tətbiqə ötürülən analiz edilmiş Content-Disposition fayl adına və sahə adına olduğu kimi daxil edilir. Fayl adı və ya sahə adı tək carriage return və ya line feed ehtiva edən fayl yükləyən hücumçu, analizatorun təmiz dəyərlər qaytaracağına etibar edən istehlakçılara idarəetmə simvolları inyeksiya edə bilər ki, bu da dəyər carriage-return həssaslığı olan bir mənbəyə yönləndirilərkən fayl sistemi fayl adının çirklənməsinə, loqların saxtalaşdırılmasına və ya başlıq inyeksiyasına şərait yaradır. 3.2.1 versiyası daxil olmaqla bütün @fastify/busboy versiyaları bu problemdən təsirlənib. Problem, hələ də tək carriage return və ya line feed ehtiva edən istənilən başlıq sətirini rədd edən 3.2.2 versiyasında düzəldilib. İstifadəçilər 3.2.2 versiyasına yüksəltmə etməli, @fastify/multipart kimi istehlakçılar isə düzəlişi tətbiq etmək üçün @fastify/busboy asılılığını yeniləməlidir.