Kejcao

في تنفيذ `node:child process` على نظام Windows، تفشل الدالة المساعدة `escapeShellArg()` في وضع علامات اقتباس صحيحة حول الحجج التي تحتوي على أحرف خاصة لـ `cmd.exe` (مثل `&`، و`|`، و`<`، و`>`، و`^`، و`!`، و`(`، و`)`) ولا تقوم بتحييد الحرف `%`، الذي يقوم `cmd.exe` بتوسيعه حتى داخل السلاسل الموضوعة بين علامتي اقتباس مزدوجتين. يحدث هذا عندما يستخدم المستدعون دوال `spawn` أو `spawnSync` أو `exec` مع الخيار `shell: true`. يمكن للمهاجم الذي يستطيع التحكم في أي جزء من الوسيطة التي يتم تمريرها إلى هذه الاستدعاءات حقن أوامر تعسفية وتنفيذها ضمن سياق عملية Deno.

يحدث نقص في عملية الترميز الهروبي للأحرف ذات الأهمية في لغة HTML، وتحديدًا الأقواس الزاوية، في العقد النصية أثناء تحويل مستند تم تحليله إلى لغة Markdown باستخدام الدالة `to markdown()`. وفي حين يتم الترميز الهروبي لبعض أحرف Markdown الخاصة، فإن أحرفًا مثل < و > تظل كما هي. وهذا يسمح بظهور المدخلات غير الموثوق بها — مثل النص الذي تم فك تشفيره ككيان أو المحتوى من العناصر التي تم تحليلها باستخدام RCDATA/RAWTEXT مثل <title> و<textarea> و<noscript> و<plaintext> — كـ HTML خام في مخرجات Markdown. وقد يؤدي هذا السلوك إلى تجاوز أداة التنقية وإمكانية حدوث برمجة نصية عبر المواقع عند عرض المخرجات.

pypdf هي مكتبة PDF مجانية ومفتوحة المصدر مكتوبة بلغة Python الخالصة. يمكن لملف PDF مصمم خصيصًا أن يتسبب في حدوث حلقة لا نهائية عند قراءته في الوضع غير الصارم. تتطلب هذه المشكلة قراءة الملف في الوضع غير الصارم. يُعد تطبيق التغييرات الواردة في التصحيح يدويًّا حلاً بديلاً محتملاً إذا لم يكن الترقية ممكنة على الفور.