Alienkeric

Um cliente `forge.tls` aceita um `compression method` no ServerHello que ele não ofereceu. Quando o cliente processa o ServerHelloDone, a função `tls.createConnectionState()` rejeita o algoritmo de compressão não suportado, lançando um Erro que se propaga a partir de `connection.process()`. Um servidor malicioso ou um invasor no caminho (on-path) pode alterar o byte de compressão do ServerHello não autenticado antes da mensagem Finished do servidor para encerrar um processo Node.js caso a aplicação não capture a exceção. Os caminhos de cliente afetados incluem o uso direto de `forge.tls`, `forge.tls.wrapSocket` e `forge.http`. Este problema não impacta a confidencialidade ou integridade, e servidores `forge.tls` não são afetados.

Um problema de injeção de SQL permite que usuários com um admin-token leiam o banco de dados `history.db`. Isso ocorre quando valores não escapados são fornecidos para os parâmetros de consulta `op` e `type=3`. Ao enviar payloads UNION SELECT manipulados para os endpoints 'searchHistory' e 'getHistoryItems', um invasor pode exfiltrar títulos, caminhos e conteúdo de documentos excluídos.

O ExifReader está suscetível a um problema de negação de serviço ao analisar arquivos HEIC ou AVIF ISO-BMFF especialmente manipulados. O problema ocorre na função `getItems()` dentro de `src/image-header-iso-bmff-iloc.js`, onde o analisador confia nos valores `itemCount` e `extentCount` da caixa `iloc`. Quando as variáveis `offsetSize`, `lengthSize`, `baseOffsetSize` e `indexSize` são definidas como zero, o deslocamento do buffer não avança, mas o analisador continua a alocar objetos de extensão em um loop aninhado. Isso pode levar à alocação de até 4,3 bilhões de objetos, causando um crescimento massivo do heap ou esgotando a memória do sistema, o que encerra o processo Node.js. Isso afeta aplicações web, desktop ou móveis que analisam imagens não confiáveis.

Uma injeção de SQL autenticada existe no endpoint 'fullTextSearchBlock' através do parâmetro de consulta `method`. Isso permite que atacantes utilizem instruções UNION SELECT para ler a tabela de blocos completa, ignorando os controles de acesso de publicação e expondo atributos sensíveis e todo o conteúdo dos documentos.

Um invasor pode criar um PDF com uma estrutura de árvore cíclica que desencadeia um loop infinito. Isso ocorre quando um caminho de código de escrita utiliza a função `TreeObject.insert child()` em `pypdf/generic/ data structures.py`, fazendo com que ela siga links `/Next` indefinidamente.

Ocorre uma invalidação imprópria de sessão porque os tokens de acesso JSON Web Tokens (JWT) são emitidos sem a reivindicação `jti` (JWT ID), impedindo a revogação no lado do servidor. Enquanto os tokens de atualização podem ser gerenciados, os tokens de acesso permanecem válidos por toda a sua duração (padrão de 1 hora), mesmo após o usuário fazer logout, alterar a senha, receber um novo token ou ter a conta desativada. Isso permite que um invasor com um token de acesso roubado mantenha acesso total à API até que o token expire naturalmente.

Existe um problema onde o validador de XSS blueprint `Security::detectXss()` processa o conteúdo bruto da página antes do processamento do Twig. Se o processamento de conteúdo Twig estiver habilitado através de `twig content.process enabled: true`, um usuário com permissões de API de escrita de página pode burlar o validador usando o operador de concatenação de strings do Twig (~) para criar dinamicamente manipuladores de eventos, tags perigosas ou protocolos. Como o validador vê apenas a expressão Twig e não a saída renderizada final, JavaScript arbitrário pode ser executado nos navegadores dos visitantes quando o conteúdo é renderizado via `{{ page.content|raw }}`.

Existe uma falha de bypass de extensão de upload de arquivo no controlador de mídia da API. A função `validateFileExtension()` inspeciona apenas a extensão final do arquivo usando `pathinfo($filename, PATHINFO EXTENSION)`, permitindo que um usuário com a permissão `api.media.write` faça o upload de arquivos com extensões duplas, como shell.php.jpg, para ignorar a lista de bloqueio de extensões perigosas. Isso pode resultar na execução remota de código se o servidor web executar o arquivo enviado como PHP.

Um problema de escrita arbitrária de arquivos existe no plugin Form. O parâmetro `process.save.filename` é validado contra path traversal antes do processamento Twig, mas não é revalidado após a renderização. Isso permite que atacantes enviem dados de formulário com sequências de path traversal que, ao serem processadas por templates Twig, permitem a criação de arquivos arbitrários, como webshells PHP, na raiz web ou em outros diretórios sensíveis.

Um problema de bomba de descompressão existe na função `ZipArchiver::extract()`. A função não impõe limites ao número de arquivos, profundidade de aninhamento ou ao tamanho total descompactado dos arquivos. Um invasor pode fornecer um arquivo ZIP especialmente criado que se expande para consumir todo o espaço em disco disponível, resultando em negação de serviço por exaustão de recursos de armazenamento.

A sanitização insuficiente de arquivos SVG enviados através do endpoint 'POST /api/v1/media' permite que um invasor autenticado com a permissão `api.media.write` faça o upload de um arquivo contendo JavaScript arbitrário. A função `HandlesMediaUploads::processUploadedFile()` valida apenas a extensão do arquivo e não invoca a `Security::sanitizeSVG()`. Como o arquivo é armazenado sem modificações e servido como `image/svg+xml`, o script incorporado é executado no contexto da sessão de um administrador que abrir o arquivo, possibilitando o roubo de cookies e o sequestro de sessão.