Bjohansebas

**Name of the Vulnerable Software and Affected Versions** multer versions 2.2.0 through 2.3.0 **Description** multer is a Node.js middleware for handling multipart/form-data uploads. When a request using disk storage is aborted during the upload process, file writes that finish after the abort cleanup has executed are not deleted. This results in orphaned files remaining on the disk. A remote unauthenticated attacker can exploit this by repeatedly starting and aborting uploads to fill the disk space, leading to a denial of service. **Recommendations** Upgrade multer to version 2.4.0 or later.

**Name of the Vulnerable Software and Affected Versions** hbs version 4.3.0 **Description** An issue exists in the Express view engine wrapper for Handlebars where the Node.js process can crash during output escaping. This occurs when an async helper, registered via `registerAsyncHelper()`, resolves to an object with a `toHTML` property that is truthy but not callable. The `escapeExpression()` function attempts to call `toHTML` as a method, resulting in a TypeError. Because the async substitution executes on a later tick outside the render function's try/catch block, the error becomes an uncaught exception that terminates the process without sending a response. This can be triggered remotely if an async helper resolves to an externally influenced object, such as parsed JSON. **Recommendations** Update hbs to version 4.3.1 or later.

**Name of the Vulnerable Software and Affected Versions** compression versions prior to 1.8.2 **Description** This Node.js and Express compression middleware contains a memory leak. When a client aborts a connection while a compressed response is being transmitted, the zlib stream used for compression is not destroyed. A remote unauthenticated attacker can exploit this by repeatedly initiating requests and disconnecting prematurely, leading to the exhaustion of native zlib memory and causing the server to crash. This results in a Denial of Service (DoS), a condition where a service is unavailable to its intended users. **Recommendations** Upgrade to version 1.8.2 or later.

**Name of the Vulnerable Software and Affected Versions** morgan versions prior to 1.12.0 **Description** An issue exists in the internal helper used to escape log token values. The software fails to neutralize Unicode line separator characters U+0085 (Next Line), U+2028 (Line Separator), and U+2029 (Paragraph Separator). An unauthenticated remote client can inject these characters into an attacker-controlled log token, such as a Basic auth username processed via the `remote-user` token. This allows for log forging, where Unicode-aware downstream log processing systems split a single request log into multiple logical records. **Recommendations** Upgrade to version 1.12.0.

**Name of the Vulnerable Software and Affected Versions** multer versions prior to 2.3.0 **Description** When using the disk storage engine for handling multipart/form-data, the software fails to close the underlying write file descriptor if an upload is aborted or truncated before the write stream finishes. Although the visible file is removed, the open descriptor remains, causing a leak of file descriptors and disk blocks. A remote attacker can exploit this by sending repeated aborted or malformed multipart uploads to an upload route, potentially exhausting system resources and leading to a denial of service. **Recommendations** Upgrade to version 2.3.0.

**Name of the Vulnerable Software and Affected Versions** multer versions prior to 2.3.0 **Description** A race condition exists in the file stream handling when an application utilizes an asynchronous `fileFilter` in conjunction with the `fileSize` limit. This allows files that exceed the configured size limit to bypass the limit rejection. The impact is limited as the underlying multipart parser still truncates the stream at the size limit, meaning the issue is a bypass of the rejection mechanism rather than uncontrolled resource consumption. **Recommendations** Update to version 2.3.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات hbs من 2.1.0 إلى 4.2.1 **الوصف** تتجاوز واجهة برمجة التطبيقات (API) `registerAsyncHelper` في محرك العرض hbs Express عملية الترميز التلقائي لـ HTML في Handlebars. أثناء عملية العرض الأولى، يُرجع المساعد غير المتزامن (async helper) عنصرًا نائبًا غير شفاف يتم ترميزه؛ ومع ذلك، يقوم hbs لاحقًا باستبدال هذا العنصر النائب بقيمة الإرجاع الأولية للرد الهاتفي دون ترميزها. يحدث هذا عبر مسارات عرض التخزين المؤقت وغير المؤقت والتخطيط. إذا قام أحد التطبيقات بتمرير بيانات متأثرة بالمهاجم، مثل المحتوى المقدم من المستخدم من قاعدة بيانات، إلى استدعاء مساعد غير متزامن، فقد يؤدي ذلك إلى ثغرة البرمجة النصية عبر المواقع (XSS) المخزنة أو المنعكسة، حيث يتم حقن كود HTML وJavaScript تعسفي في الصفحة التي يتم عرضها من قبل الخادم. **التوصيات** قم بالترقية إلى الإصدار 4.3.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات body-parser الأقدم من 1.20.6 إصدارات body-parser الأقدم من 2.3.0 **الوصف** عندما يتم تكوين المحلل بقيمة خيار `limit` غير صالحة، مثل سلسلة لا يمكن تحليلها أو NaN (ليس رقمًا)، يتم تخطي فحص حجم نص الطلب دون إشعار. يحدث هذا لأن آلية التحليل الداخلية تُرجع قيمة null، مما يتسبب في أن التطبيقات التي تعتمد على المعلمة `limit` كإجراء وقائي أساسي تقبل أحمالًا كبيرة بشكل تعسفي. قد يؤدي هذا إلى استهلاك مفرط للذاكرة ووحدة المعالجة المركزية (CPU)، مما يؤدي إلى رفض الخدمة. **التوصيات** قم بتحديث body-parser إلى الإصدار 1.20.6 أو أحدث. قم بتحديث body-parser إلى الإصدار 2.3.0 أو أحدث. تحقق من صحة قيمة `limit` قبل تمريرها إلى المحلل، وذلك بالتأكد من أن القيمة ليست null أو عددًا غير محدود عند بدء التشغيل.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات webpack-dev-server الأقدم من 5.2.6 **الوصف** تقوم نقاط النهاية الداخلية للمطورين ’/webpack-dev-server/open-editor‘ و ’/webpack-dev-server/invalidate‘ بتنفيذ إجراءات تغير الحالة استجابةً لطلبات GET دون التحقق من مصدر الطلب. وهذا يسمح لأي موقع ويب يزوره المطور بتشغيل نقاط النهاية هذه عبر الأصول. يمكن للمهاجم فتح ملفات محلية عشوائية في محرر المطور، بما في ذلك تلك الموجودة خارج جذر المشروع. بالإضافة إلى ذلك، يمكن أن تؤدي الطلبات المتكررة إلى إنشاء عمليات محرر متعددة وإجبار النظام على إعادة التجميع، مما يؤدي إلى تدهور أداء النظام. **التوصيات** قم بالترقية إلى الإصدار 5.2.6 من webpack-dev-server.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات webpack-dev-server الأقدم من 5.2.6 **الوصف** يمكن لطرف غير مصدق عليه أن يتسبب في إنهاء عملية Node.js، مما يؤدي إلى حدوث هجوم رفض الخدمة. يحدث هذا عندما يتلقى الخادم طلب HTTP عاديًا يحتوي على رأس «Host» غير صحيح الشكل، أو طلب ترقية WebSocket إلى نقطة النهاية `/ws` يحتوي على رأس «Origin» غير صحيح الشكل. تؤدي القيم غير الصحيحة إلى حدوث استثناء لم يتم التقاطه في مسار التحقق من صحة المضيف، مما يؤدي إلى تعطل خادم التطوير. يقتصر التأثير على توفر الخادم، دون أي خطر لتنفيذ التعليمات البرمجية أو الكشف عن البيانات. **التوصيات** قم بالترقية إلى الإصدار 5.2.6 من webpack-dev-server. حافظ على ربط خادم التطوير بـ localhost وتجنب تعريضه لشبكات غير موثوق بها.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات multer من 2.0.0-alpha.1 إلى 2.1.1 إصدار multer 3.0.0-alpha.1 **الوصف** توجد مشكلة رفض الخدمة عند استخدام diskStorage. تؤدي عمليات التحميل متعددة الأجزاء التي تم إيقافها أو التي تحتوي على أخطاء في التنسيق إلى ترك ملفات جزئية متروكة على القرص لأن استدعاء `Readable.pipe()` لا ينقل إشارة تدمير الدفق إلى `fs.WriteStream` الأساسي. وهذا يسمح للمهاجم باستنفاد مساحة القرص عن طريق تشغيل العديد من عمليات التحميل التي تم إيقافها. **التوصيات** قم بالترقية إلى الإصدار 2.2.0 للإصدارات من 2.0.0-alpha.1 إلى 2.1.1. قم بالترقية إلى الإصدار 3.0.0-alpha.2 للإصدار 3.0.0-alpha.1.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات webpack-dev-server الأقدم من 5.2.5 **الوصف** يقوم وكيل (بروكسي) متساهل تم تكوينه من قبل المستخدم، مع سياق واسع (مثل ’/‘) وقيمة `ws: true`، باعتراض WebSocket الخاص بخدمة استبدال الوحدات النمطية الساخنة (HMR) الخاصة بخادم التطوير وإعادة توجيهه إلى هدف الوكيل. يؤدي ذلك إلى تسرب ملفات تعريف الارتباط (cookies) ورأس Origin الخاص بالمتصفح إلى الخلفية (backend) وتجاوز عملية التحقق من صحة المضيف/الأصل (Host/Origin) الخاصة بخادم التطوير. بالإضافة إلى ذلك، يتسبب هذا في تلف مأخذ توصيل HMR حيث يحاول كل من HMR والوكيل الكتابة إلى نفس مأخذ التوصيل. **التوصيات** التحديث إلى الإصدار 5.2.5. تحديد نطاق سياق الوكيل المحدد من قبل المستخدم بمسارات محددة بدلاً من ’/‘. حذف `ws: true` من إدخال الوكيل عندما لا تكون إعادة توجيه WebSocket مطلوبة.