Blakeembrey

multiparty is a Node.js library used for parsing multipart/form-data request bodies. The parser fails to limit the memory used when accumulating headers for a single multipart part. An unauthenticated attacker can exploit this by sending a request containing an excessive volume of header bytes, forcing the parser to buffer the data and exhaust process memory, resulting in a denial of service that crashes the server.

The library fails to properly validate the `domain` and `path` options, checking them against a permissive RFC 7230 field-content matcher that allows semicolons. Because these values are written into the Set-Cookie header unescaped, an application passing untrusted or request-derived data into these options allows for Set-Cookie attribute injection. This can enable an attacker to override attributes such as `SameSite`, `Secure`, `HttpOnly`, or `Domain` on issued cookies.

يوجد ثغرة تسمح بتجاوز المصادقة والتفويض بسبب عدم اتساق عملية فك تشفير عناوين URL بين جهاز التوجيه Fastify ومعالج الملفات الثابتة. حيث يعامل جهاز التوجيه فواصل المسارات المشفرة بنسبة المئوية (`%2F`) كأحرف حرفية، بينما يقوم معالج الملفات الثابتة بفك تشفيرها قبل تحديد موقع الملف في نظام الملفات. يسمح هذا التباين للمهاجمين بالالتفاف على البرامج الوسيطة القائمة على المسارات أو الحواجز المصممة لحماية مسارات محددة. على سبيل المثال، قد لا يتطابق الطلب الموجه إلى `/admin%2Fsecret.html` مع حاجز محدد لـ `/admin/*`، ولكنه سيُحل ويُعرض على أنه `/admin/secret.html` بواسطة معالج الملفات الثابتة.

البرنامج معرض لخطر ”رفض الخدمة باستخدام التعبيرات العادية“ (ReDoS) عند معالجة عدة أحرف بديلة مقترنة بمعلمة واحدة على الأقل. تنشأ هذه المشكلة لأن التعبير العادي الذي يتم إنشاؤه قد يؤدي إلى تراجع مفرط عندما لا يكون الحرف البديل الثاني في نهاية المسار. ومن الأمثلة غير الآمنة: ’/*foo-*bar-:baz‘، و'/*a-:b-*c-:d'، و'/x/*a-:b/*c/y'. ومن الأمثلة الآمنة: ’/*foo-:bar‘ و'/*foo-:bar-*baz'. ReDoS هو نوع من الهجمات حيث يتسبب إدخال مصمم بعناية في استغراق محرك التعبيرات العادية وقتًا طويلاً للغاية في المعالجة، مما قد يؤدي إلى رفض الخدمة.

يتم إنشاء تعبير عادي معيب عند وجود عدة مجموعات اختيارية متتالية (باستخدام صيغة الأقواس المتعرجة)، مثل `{a}{b}{c}:z`. ينتشر التعبير النمطي الناتج بشكل أسي مع زيادة عدد المجموعات، مما قد يؤدي إلى حدوث هجوم رفض الخدمة. تجنب تمرير المدخلات التي يتحكم فيها المستخدم كأنماط مسار.

The issue concerns a performance vulnerability in path-to-regexp, where certain inputs can generate regular expressions vulnerable to backtracking, leading to poor performance. This vulnerability exists due to an incomplete fix.

The cookie name could be used to set other fields of the cookie, resulting in an unexpected cookie value. A similar escape can be used for `path` and `domain`, which could be abused to alter other fields of the cookie. For example, `serialize("userName=<script>alert('XSS3')</script>; Max-Age=2592000; a", value)` would result in `"userName=<script>alert('XSS3')</script>; Max-Age=2592000; a=test"`, setting `userName` cookie to `<script>` and ignoring `value`.

يتم إنشاء تعبير عادي معيب عند وجود ثلاثة معلمات أو أكثر داخل مقطع واحد، مفصولة بأحرف غير النقطة (`.`). على سبيل المثال، `/:a-:b-:c` أو `/:a-:b-:c-:d`. لا تعالج حماية التراجع (backtrack) التي تم تقديمها في `path-to-regexp@0.1.12` الغموض إلا في حالة وجود معلمتين فقط. أما في حالة وجود ثلاث معلمات أو أكثر، فإن التعبير النمطي التطلعي الذي يتم إنشاؤه لا يمنع أحرف الفصل الفردية من التسبب في تداخل مجموعات الالتقاط، مما يؤدي إلى تراجع كارثي. لا تتأثر أنماط التعبيرات العادية المخصصة المُعرَّفة في تعريفات المسارات، مثل `/:a-:b([^-/]+)-:c([^-/]+)`، لأنها تتجاوز مجموعة الالتقاط الافتراضية.

The issue arises when path-to-regexp generates a regular expression that can cause poor performance, leading to a Denial of Service (DoS). This occurs when there are two parameters within a single segment, separated by something that is not a period (.). For example, `/:a-:b` can produce a regular expression that can be exploited. The estimated impact is significant, with performance being over 1000x worse than safe regex in local benchmarks. In a realistic environment, this can result in average latency of ~600ms vs 1ms.