Maxisbey

كان `QuerystringParser` يعامل الفاصلة المنقوطة (`;`) كفاصل بين الحقول في نصوص `application/x-www-form-urlencoded`، بالإضافة إلى علامة «&» (`&`). وهذا يخالف معيار URL الخاص بـ WHATWG، والمتصفحات الحديثة، و`urllib.parse` في Python، التي لا تعترف إلا بعلامة `&` كفاصل. يؤدي هذا التباين إلى اختلاف في المحلل، مما يسمح للمهاجم بتهريب حقول نموذج إضافية أو متجاوزة عبر مكون فحص النص الأساسي في المرحلة الأولية، مثل جدار حماية تطبيقات الويب (WAF) أو البوابة، التي تتبع قاعدة WHATWG. ويمكن أن يؤدي ذلك إلى تعارضات في التفسير أو تلوث معلمات HTTP، حيث يتلقى التطبيق الخلفي معلمات لم يلاحظها أداة التحقق الوسيطة.

توجد مشكلة تعقيد من الدرجة الثانية عند تحليل نصوص `application/x-www-form-urlencoded`. يقوم `QuerystringParser` بإجراء بحث من خطوتين عن فواصل الحقول، حيث يقوم بمسح المخزن المؤقت المتبقي بالكامل بحثًا عن `&` قبل اللجوء إلى `;`. إذا كان النص الأساسي يستخدم `;` كفاصل ولا يحتوي على `&`، فإن كل تكرار للحقل يؤدي إلى فشل المسح الكامل للمخزن المؤقت المتبقي، مما ينتج عنه مقارنات بايت O(B^2) لكل جزء. يمكن للمهاجم إرسال نص أساسي مُصمم خصيصًا يتكون من فواصل متكررة للتسبب في استهلاك مفرط لوحدة المعالجة المركزية (CPU)، مما قد يستنفد عمليات العمل ويؤدي إلى رفض الخدمة. يمكن الوصول إلى هذا المحلل عبر فئة `QuerystringParser` وواجهات برمجة التطبيقات (API) `FormParser` و`create form parser` و`parse form`، ويستخدمه كل من Starlette وFastAPI في استدعاءات `request.form()`.