Cruzryan

Happy DOM هو تنفيذ بلغة JavaScript لمتصفح ويب بدون واجهة مستخدم رسومية. لا يقوم `CookieContainer` في `src/cookie/CookieContainer.ts` بالتحقق بشكل صحيح من سمات نطاق ملفات تعريف الارتباط (Cookie Domain) أو مطابقتها. وتحديداً، تفشل الدالة `cookieMatchesURL()` في فرض حدود تسمية نظام أسماء النطاقات (DNS-label boundary)، مما يسمح لها بمعاملة اسم مضيف غير مرتبط يتشارك في اللاحقة على أنه تطابق. بالإضافة إلى ذلك، قد تقبل نطاقاً غير مرتبط بالأصل الذي يقوم بتعيين ملف تعريف الارتباط، بما في ذلك اللاحقة العامة. في تطبيقات الرندرة من جانب الخادم (SSR) وتطبيقات الرندرة المسبقة التي تتصل بأصول يسيطر عليها المهاجم ثم تقوم بإرسال طلبات إلى أصل الضحية، يمكن أن تسمح هذه السلوكيات للمهاجم بزرع وتسليم ملف تعريف ارتباط مزور، مما يؤدي إلى حقن ملفات تعريف الارتباط أو تثبيت الجلسة.

يسهل Seroval تحويل قيم JavaScript إلى نصوص، بما في ذلك الهياكل المعقدة. تقوم الدالة `fromJSON()` بإعادة بناء `AsyncIteratorFactoryInstance` عن طريق استدعاء `source.on(listener)` دون اشتراط أن يكون `source` تدفقًا داخليًا حقيقيًا. عند استخدام مدخلات Seroval غير موثوقة وإضافة تطبيق (plugin) تعيد قيمة قابلة للاستدعاء أو كائنًا يعرض طريقة `on` ، يمكن لعقدة مصممة خصيصًا إعادة استخدام معرف بحيث يقوم برنامج إلغاء التسلسل باستدعاء القيمة الناتجة عن الإضافة. يعتمد التأثير الناتج على السرية أو السلامة أو التوافر على السلوك الذي تعرضه إضافة التطبيق.

The default `blockUnsafeOperationsPlugin` compares parsed option names with literal dangerous option spellings, but Git accepts unambiguous long-option abbreviations. This allows attacker-influenced push arguments, such as abbreviated forms of `--receive-pack` or `--exec`, to bypass the `detectVulnerableFlags` function. Consequently, Git may invoke an attacker-selected command when these arguments are passed to a local or file remote, or an attacker-influenced receive-pack target.

The `Address6.isPrivate` classifier in `src/ipv6.ts` fails to recognize the NAT64 local-use range `64:ff9b:1::/48`. Consequently, the `isPrivate()`, `isLoopback()`, and `isLinkLocal()` functions return `false` for addresses within this range, causing internal IPv4 destinations encoded via a local-use NAT64 prefix to be incorrectly identified as global addresses. This can lead to a trust-boundary bypass in applications using these checks to prevent Server-Side Request Forgery (SSRF), an attack where a user-supplied address tricks a server into making requests to internal destinations, such as loopback services or cloud metadata endpoints. Exploitation requires the server network to use an operator-selected NAT64 prefix within the local-use range.

The Assembler component materializes object properties using plain assignment. When an input key is named ` proto `, it invokes the inherited setter, leading to the replacement of the parsed object prototype instead of creating an own data property. This can allow applications that rely on inherited values for authorization or feature decisions to consume attacker-controlled properties. Additionally, a null prototype may disrupt code expecting standard Object.prototype methods. While the global Object.prototype is not polluted, the issue occurs when parsing untrusted JSON.