Zerovulnlabs

توجد مشكلة في الدالة `SAML.handleCallback()` حيث تفشل في استهلاك RelayState، أو تسجيل معرفات التأكيد (assertion identifiers)، أو فرض `Response.InResponseTo`. في التدفقات التي يبدأها مزود الخدمة (SP)، يمكن للمهاجم الذي يمتلك استجابة SAML صالحة وRelayState مطابقة إعادة إرسالهما إلى نقطة النهاية `/recipe/saml/callback` قبل انتهاء صلاحية التأكيد. وفي التدفقات التي يبدأها مزود الهوية (IdP)، يمكن إعادة تشغيل التأكيد بدون RelayState. بالإضافة إلى ذلك، فإن غياب التحقق من `Response.InResponseTo` يسمح بإكمال عملية تسجيل دخول جارية باستخدام تأكيد لهوية مختلفة ويتجاوز إعداد `allowIDPInitiatedLogin=false`. كما يفشل الـ callback في التحقق من Destination أو SubjectConfirmationData Recipient و NotOnOrAfter، مما يؤدي إلى إصدار رمز تفويض جديد لهوية المستخدم التي تم اعتراضها.

في عمليات النشر متعددة المستأجرين التي تستخدم WebAuthn مع تجمع مستخدمين مشترك، يفشل الخادم في قصر عمليات البحث على المستأجر المطلوب ولا يتحقق من عضوية المستأجر أثناء تسجيل الدخول. يسمح هذا للمستخدم الذي يمتلك مفتاح مرور (passkey) صالح في أحد المستأجرين بالمصادقة في مستأجر آخر ضمن نفس التطبيق، حتى بدون وجود عضوية في المستأجر المستهدف. تتضمن المشكلة الدالتين `loadOptionsById Transaction()` و `getUserInfoByCredentialId Transaction()`، بالإضافة إلى طريقة `WebAuthN.signIn`.

يمكن لمثيل `middleware.Static` المثبت عالميًا تفسير مسار طلب مشفر بشكل مختلف عن الموجه (router). يحدث هذا لأن الموجه يطابق المسار الذي لا يزال مشفرًا، بينما يستخدم المعالج الاستاتيكي `URL.Path` الذي تم فك تشفيره. يسمح هذا التباين لشرطة مائلة (slash) مشفرة بالوصول إلى ملف تحت الجذر الاستاتيكي من خلال البرمجية الوسيطة الاستاتيكية العالمية.

توجد مشكلة إعادة توجيه مفتوحة في الدالة `sanitizeURI()` عندما يتم تكوين `AddTrailingSlash` أو `RemoveTrailingSlash` بحالة إعادة توجيه. تقوم الدالة بفحص أول بايتين فقط من هدف إعادة التوجيه لتحديد ما إذا كان مسارًا محليًا. يمكن للمهاجم تجاوز هذه الحماية عن طريق وضع حرف تحكم، مثل TAB، قبل زوج من الفواصل. نظرًا لأن المتصفحات تزيل أحرف التحكم وتوحد الشرطات المائلة الخلفية قبل التحليل، يمكن لرأس `Location` مصمم خصيصًا إعادة توجيه المستخدمين إلى مضيف يتحكم فيه المهاجم. يمكن استغلال ذلك في عمليات التصيد الاحتيالي أو سرقة رموز OAuth و SSO.

A microservice using TCP or RabbitMQ transport can be terminated by a single message containing a deeply nested object in its pattern. The functions `ServerTCP#handleMessage()` and `ServerRMQ#handleMessage()` pass a client-controlled non-string pattern to `JSON.stringify()` to derive the handler lookup key. Sufficiently deep nesting triggers a RangeError: Maximum call stack size exceeded, leading to an unhandled promise rejection that crashes the Node.js process. This allows an attacker with access to the TCP port or the ability to publish to the consumed RabbitMQ queue or exchange to cause a denial of service.

When a route registers a response trailer using the `reply.trailer()` function and is served over HTTP/2, the framework unconditionally sets the Transfer-Encoding: chunked header. Because this header is forbidden in HTTP/2, Node.js throws an exception during the serialization of response headers. This exception is not caught, resulting in an uncaughtException that crashes the server process and drops all in-flight requests. A single unauthenticated HTTP/2 request to any route utilizing trailers can trigger this crash, which can be repeated after every server restart.