Vulnerabilidad en @fastify/busboy (CVE-2026-74866)

@fastify/busboy es un analizador de datos de formulario multipart para Node.js. Su analizador de encabezados de parte multipart divide las líneas de encabezado solo en la secuencia de dos bytes de retorno de carro y salto de línea, por lo que un retorno de carro o salto de línea solitario incrustado en un encabezado de parte no se trata como un salto de línea y se transfiere textualmente al nombre de archivo y nombre de campo de Content-Disposition analizados entregados a la aplicación. Un atacante que carga un archivo cuyo nombre de archivo o nombre de campo contiene un retorno de carro o salto de línea simple puede inyectar caracteres de control en consumidores que confían en que el analizador devuelva valores limpios, lo que permite la contaminación de nombres de archivo del sistema de archivos, la falsificación de registros o la inyección de encabezados cuando el valor se reenvía a un sumidero sensible al retorno de carro. Todas las versiones de @fastify/busboy hasta la 3.2.1 inclusive están afectadas. El problema está solucionado en la versión 3.2.2, la cual rechaza cualquier línea de encabezado que aún contenga un retorno de carro o salto de línea simple. Los usuarios deben actualizar a la versión 3.2.2, y los consumidores, como @fastify/multipart, deben actualizar su dependencia de @fastify/busboy para incorporar la solución.