Notaflightrisk

يمكن للمستخدمين المصرح لهم التسبب في استهلاك غير منضبط للموارد من خلال طلب الصور الرمزية (avatars) بأحجام متميزة عديدة. من خلال تحميل صورة رمزية مشوشة وطلبها بكل حجم حتى 1024، يمكن للمهاجم تخزين حوالي جيجابايت واحد من البيانات لكل حساب دون إزالتها من ذاكرة التخزين المؤقت. يؤدي هذا إلى إنهاء عملية واجهة برمجة التطبيقات (API) بواسطة OOM-killed، وهو ما يحدث عندما يقوم نظام التشغيل بإنهاء عملية بسبب نفاد الذاكرة المتاحة في النظام.

عند تفعيل `escapeParameter` وعرض الترجمات كـ HTML عبر `v-html` ، تفشل الدالة `sanitizeTranslatedHtml()` في التعامل بشكل صحيح مع سمة `srcdoc` لعناصر `<iframe>`. بينما يقوم برنامج التطهير بتشفير العلامات وتحييد معالجات الأحداث، تقوم المتصفحات بفك تشفير مراجع الأحرف هذه عند تحليل قيمة `srcdoc` كمستند HTML متداخل من نفس الأصل. يسمح هذا للمعلمات التي يتحكم فيها المهاجم أو محتوى الترجمة الموجود في `srcdoc` بتنفيذ برامج نصية عشوائية في أصل التطبيق، مما يؤدي إلى ثغرة Cross-Site Scripting (XSS) مستندة إلى DOM. يمكن حدوث هذه المشكلة إذا تم تمرير قيم غير موثوقة كمعلمات داخل `srcdoc` ، أو إذا كانت رسائل الترجمة تحتوي على HTML غير موثوق به، أو إذا تم استخدام قيم مسمى غير موثوق بها بالتزامن مع قائمة.

توجد مشكلة في حجب الخدمة حيث يمكن للمهاجمين استنفاد موارد وحدة المعالجة المركزية من خلال تحليل زمني تربيعي داخل الدالة `Snapshot::from bytes()`. من خلال إرسال ملف .mailmap مصمم خصيصاً يحتوي على إدخالات مرتبة تنازلياً، يمكن للمهاجم فرض عمليات إدراج أمامية متكررة، مما يؤدي إلى تعطيل العاملين الذين يقومون بتشغيل عمليات log أو blame أو shortlog لعدة دقائق.

Seroval allows for the stringification of JavaScript values, including complex structures. The `deserializeTypedArray` function within `fromJSON` and `fromCrossJSON` trusts a deserialized source value as an ArrayBuffer without bounding the serialized element count. An attacker can provide a small untrusted JSON object containing a large length value, which forces the TypedArray constructor to synchronously allocate a massive number of elements. This process can exhaust CPU or memory resources and starve the event loop, leading to a denial of service. The offset check fails to reject the crafted source because `source.byteLength` is undefined. While DataView encounters a similar unchecked cast, it throws an error instead of allocating memory.

The JSONC parser at stream-json/jsonc/parser.js and verifier at stream-json/jsonc/verifier.js restart comment-terminator scanning from the opening slash when a block or line comment spans an input chunk, while retaining the accumulated comment buffer. This behavior can lead to quadratic CPU work and stall the Node.js event loop if a large valid comment is delivered across many small chunks. This issue specifically affects the JSONC parser and does not impact the plain JSON parser. The attack vector is considered local as JSONC input typically consists of locally owned or user-controlled configuration.

The `Client.list()` function is susceptible to a Denial of Service (DoS) when interacting with a malicious or compromised FTP server. The issue occurs during the parsing of Unix-style directory listings where the `RE LINE` expression in `src/parseListUnix.ts` performs inefficient backtracking across adjacent variable-length owner and group fields. This happens when a long Unix-style line contains a valid prefix but fails to satisfy subsequent size and date fields. Because `parseList()` applies the selected parser to every line, a crafted response can cause quadratic CPU consumption, blocking the Node.js event loop and freezing the process. Listings based on MLSD are not affected.

يقوم محلل URI هذا الخاص بـ Node.js بفك تشفير الرموز المئوية في اسم المضيف أثناء التحليل، ثم يقوم بعد ذلك بفك تشفير اسم المضيف الذي تم تحليله مرة ثانية أثناء إعادة تكوين السلطة. ويسمح هذا الفك المزدوج للتشفير بتحويل المدخلات المتداخلة المشفرة بالرموز المئوية إلى وجهة شبكة مختلفة، مثل اسم مضيف أو عنوان loopback، مما يشكل انتهاكًا للمادة 2.4 من RFC 3986. قد تكون التطبيقات التي تقوم بتوحيد أو تحليل عناوين URI غير الموثوق بها من عائلة HTTP قبل التوجيه الصادر أو التحقق من صحة إعادة التوجيه أو فحوصات سياسة المضيف عرضة لتزوير الطلبات من جانب الخادم (SSRF) وتجاوز سياسة المضيف.