Betroffen ist die JavaScript-Bibliothek form-data, die mehrteilige Formulardatenströme (multipart/form-data) erzeugt. Beim Anhängen eines Feldes werden der Feldname und der optionale Dateiname unverändert in den Content-Disposition-Header übernommen – Zeilenumbrüche (Wagenrücklauf und Zeilenvorschub) sowie doppelte Anführungszeichen werden dabei nicht maskiert. Verarbeitet eine Anwendung Werte aus fremder Quelle als Feld- oder Dateinamen, etwa ein API-Gateway, das Schlüssel aus JSON-Objekten in Formularfeldnamen umwandelt, kann ein Angreifer die Headerzeile vorzeitig beenden und zusätzliche Header einschleusen oder ganze weitere Nachrichtenteile unterschieben. Dadurch lassen sich Formularfelder hinzufügen oder überschreiben, die das empfangende Backend auswertet – beispielsweise das Setzen einer Administratorkennzeichnung. Es handelt sich um eine klassische CRLF-Injection. Voraussetzung ist, dass die nutzende Anwendung nicht vertrauenswürdige Eingaben als Feld- oder Dateinamen verwendet; Anwendungen mit ausschließlich festen Feldnamen sind nicht betroffen. Die Korrektur maskiert die kritischen Zeichen entsprechend der Browser-Serialisierung.