@fastify/busboy に、multipart のパートヘッダー名に関連する脆弱性が存在し、Denial of Service (サービス拒否) 攻撃を受ける可能性があります。
### 影響
@fastify/busboy のバージョン 1.0.0 以降、3.2.1 より前のバージョンは、Denial of Service の脆弱性を持っています。multipart のヘッダーパーサーは、パートヘッダーの名前を単純な JavaScript オブジェクトに格納しますが、`__proto__` または `constructor` という名前のパートヘッダーが存在する場合、継承された値（配列ではない）が参照され、パーサーが `TypeError: this.header[h].push is not a function` というエラーを発生させます。ドキュメントに記載されている `req.pipe(busboy)` の統合を使用している場合、このエラーは `error` イベントとして表面化しますが、直接 `write()`/`end()` を使用している場合は、同期的にエラーが発生し、Node.js プロセスが停止する可能性があります。このパーサーはアプリケーションのミドルウェアの前に実行されるため、multipart/form-data を送信できる未認証のクライアントはすべて影響を受けます。
### 修正
バージョン 3.2.1 で修正されました。
### 対策
Busboy ストリームに `error` リスナーをアタッチして、パーサーの失敗を処理し、プロセスがクラッシュするのを防ぎます。また、直接 `write()`/`end()` を呼び出す場合は、try/catch ブロックで囲みます。バージョン 3.2.1 にアップグレードすると、この問題は完全に解消されます。
影響を受けるパッケージ：
- npm (JavaScript) @fastify/busboy: 影響範囲は 1.0.0 以降、3.2.1 未満。3.2.1 で修正済み。