3Zer0

Uma falha de cross-site request forgery (CSRF) no Blazor e SignalR permite que um invasor não autorizado eleve privilégios através de uma rede. Ao enviar uma requisição cross-site para o endpoint '/ blazor/refresh', um invasor pode vincular a identidade de um usuário ao circuito do invasor, permitindo que ele atue como um usuário autenticado.

A alocação de recursos sem limites ou restrição permite que um invasor não autorizado cause a negação de serviço através de uma rede. Especificamente, a validação de cliente do Blazor static-SSR retém nomes de campos renderizados controlados pelo invasor em um cache singleton ilimitado, o que pode levar ao esgotamento da memória do processo remoto.