CVE-2026-12143

إصدارات form-data الأقدم من 2.5.6

إصدارات form-data الأقدم من 3.0.5

إصدارات form-data الأقدم من 4.0.6

يتم ربط الحجة field الخاصة بـ FormData#append والخيار filename حرفياً في رأس Content-Disposition دون تجنب أحرف العودة (CR) أو التقدم (LF) أو الاقتباس المزدوج (") وهذا يسمح للمهاجم بتنفيذ حقن CRLF (حقن علامتي العودة والانتقال)، وهي عملية إدراج أحرف خاصة للتلاعب ببنية رأس HTTP. إذا استخدم تطبيق ما مدخلات غير موثوق بها كاسم حقل أو اسم ملف، فيمكن للمهاجم إنهاء سطر الرأس لحقن رؤوس إضافية أو تهريب أجزاء متعددة كاملة إلى الطلب الذي يتم إعادة توجيهه إلى الخلفية. ويمكن أن يمكّن ذلك المهاجم من إضافة حقول نموذج أو تجاوزها، مثل تعيين is admin=true، كما يراها المحلل التالي.

التحديث إلى الإصدار 2.5.6.

التحديث إلى الإصدار 3.0.5.

التحديث إلى الإصدار 4.0.6.