7Thparkk

**Nome do Software Vulnerável e Versões Afetadas** http-proxy-middleware versões 0.16.0 até 2.0.9 http-proxy-middleware versões 3.0.0 até 3.0.5 http-proxy-middleware versões 4.0.0 até 4.0.9 **Description** Existe um problema na implementação da tabela de roteamento `router` onde os seletores de host+caminho utilizam correspondência de substring não ancorada em metadados de requisição. Quando uma chave de roteamento contém `/`, a função `getTargetFromProxyTable()` concatena o cabeçalho `Host` e a URL da requisição em uma única string e verifica se a chave configurada é uma substring desse valor combinado. Isso permite que um invasor ignore limites de roteamento ao fornecer um cabeçalho `Host` manipulado que funcione como uma correspondência de superstring para a chave configurada, potencialmente roteando requisições para backends não pretendidos. Isso afeta a função `createProxyMiddleware()` quando configurada com regras de host+caminho. **Recommendations** Atualize para a versão 2.0.10, 3.0.6 ou 4.1.0, dependendo da versão principal em uso. Como medida paliativa temporária, evite usar seletores de host+caminho na configuração do `router` em `createProxyMiddleware()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Deno versões anteriores a 2.8.1 **Descrição** Quando a função `fetch()` é chamada, o runtime valida o nome do host de destino em relação às regras `--deny-net`, mas não re-verifica os endereços IP para os quais esse nome de host é resolvido. Isso permite que um script controlado por um invasor use um nome de domínio especialmente criado que passe na verificação inicial do nome do host, mas que seja resolvido para um IP negado, ignorando efetivamente as regras de isolamento de rede. Isso pode levar ao acesso não autorizado a hosts bloqueados, como `localhost` ou serviços internos, particularmente ao executar código não confiável ou de terceiros. **Recomendações** Atualize para a versão 2.8.1. Como mitigação temporária, evite conceder `--allow-net` a códigos não confiáveis que dependam de restrições `--deny-net` para segurança.