Gdegrange

تستخدم الدالة `decodeUriComponent` في ملف `index.js` آلية احتياطية تسمى `customDecodeURIComponent` عندما تفشل عملية فك التشفير الأصلية. تقوم هذه الآلية الاحتياطية بتحديد كل تسلسل مشفر بنسبة مئوية متميز وتجري استبدالاً باستخدام تعبير نمطي (regular-expression) على السلسلة النصية كاملة لكل إدخال. عند تقديم مدخلات مشوهة تحتوي على العديد من التسلسلات المتميزة، يزداد عدد عمليات الاستبدال وطول المدخلات الممسوحة ضوئياً في وقت واحد. يؤدي ذلك إلى استهلاك تربيعي لوحدة المعالجة المركزية (CPU)، مما قد يتسبب في حظر حلقة أحداث Node.js. وبينما قد تقلل حدود ترويسة URL من التأخير، فإن المدخلات في جسم الطلب يمكن أن تصل إلى أحجام تؤدي إلى حدوث هذا السلوك.

تتعرض خوادم بروتوكول سياق النموذج (MCP) عن بُعد لهجمات إعادة تشغيل رمز حامل (bearer token) عبر الخدمات. يحدث هذا بسبب فشل مصادقة الرمز الحامل في جانب الخادم في التحقق من الجمهور (`aud`) الخاص بالرمز. في البيئات التي يصدر فيها خادم تفويض واحد رموزًا لعدة خدمات، قد يتم قبول رمز مخصص لخدمة أخرى بشكل خاطئ بواسطة خادم MCP. تؤثر هذه المشكلة على الخوادم التي تستخدم الدالتين `requireBearerAuth()` أو `verifyBearerToken()` إذا كانت الدالة `verifyAccessToken()` لا تتحقق بشكل مستقل من مطالبة `aud`.

The default `blockUnsafeOperationsPlugin` compares parsed option names with literal dangerous option spellings, but Git accepts unambiguous long-option abbreviations. This allows attacker-influenced push arguments, such as abbreviated forms of `--receive-pack` or `--exec`, to bypass the `detectVulnerableFlags` function. Consequently, Git may invoke an attacker-selected command when these arguments are passed to a local or file remote, or an attacker-influenced receive-pack target.