Alimony

Existe um problema na correspondência de capacidades de rede onde as regras `--deny-net` específicas de porta (formatadas como HOST:PORT ou IP:PORT) correspondem apenas a strings de host literais, enquanto a verificação de IP resolvido ignora a porta. Isso permite que usuários autenticados ignorem restrições de rede e alcancem serviços internos bloqueados ao chamar funções `http::*` usando um nome de host que resolve para um IP negado ou usando o IP de um nome de host negado. Trata-se de um server-side request forgery, que ocorre quando um invasor induz uma aplicação no lado do servidor a fazer requisições para um local não pretendido.

A decodificação de strings construídas e de ANY com comprimento indefinido concatena repetidamente fragmentos em um valor de bytes crescente. Ao processar dados BER (Basic Encoding Rules) ou CER (Canonical Encoding Rules) controlados por um invasor que contenham inúmeros fragmentos de OCTET STRING ou strings de caracteres construídas, o sistema executa um trabalho quadrático. Especificamente, o `OctetStringPayloadDecoder` utiliza concatenação de cabeçalho crescente e o `AnyPayloadDecoder.indefLenValueDecoder` utiliza concatenação de chunk crescente, copiando repetidamente um prefixo crescente. Isso pode levar ao esgotamento da CPU ao ocupar os trabalhadores de decodificação se um valor suficientemente fragmentado for fornecido.

O leitor de WebSocket retém um objeto `bytes` para cada leitura de transporte durante a remontagem de um quadro incompleto. Um peer malicioso pode dividir um quadro em inúmeras leituras pequenas, fazendo com que a sobrecarga por objeto exceda significativamente os bytes de carga permitidos por `max msg size`. Isso pode levar ao consumo excessivo de memória ou a uma negação de serviço, tanto para servidores que recebem quadros de um cliente malicioso quanto para clientes que recebem quadros de um servidor malicioso.

Existe um problema no processamento das leituras de cabeçalhos encaminhados (forwarded-headers) usados para derivar os valores de host, protocolo, hostname, ip e ips da requisição. Quando a configuração `trustProxy` é definida com um valor numérico de contagem de saltos (hop-count), o sistema não valida adequadamente o endereço de conexão. Isso permite que um invasor que consiga acessar a origem diretamente, ignorando o proxy frontal, falsifique os campos de requisição encaminhados. Isso pode resultar em injeção de host em URLs geradas, bypass de imposição de HTTPS, bypass de cookies seguros e de origem CSRF, além de envenenamento de cache e roteamento baseado em host.

Ocorre cross-site scripting armazenado durante a renderização de mídia de áudio e vídeo através da função `sourceParsedownElement()`. O problema surge porque o fragmento da URL da mídia é concatenado sem a devida sanitização em elementos rawHtml de origem, permitindo que atacantes injetem HTML e JavaScript arbitrários que são executados nas sessões dos usuários que visualizam o conteúdo.

Um problema de negação de serviço existe no operador `ScriptRange.Multiply`. Quando o operando esquerdo é uma sequência preguiçosa (lazy sequence), o `LoopLimit` é ignorado, permitindo que atacantes forneçam templates com multiplicação de arrays em sequências preguiçosas. Isso pode resultar em bilhões de iterações não contabilizadas, sobrecarregando os núcleos da CPU e esgotando os recursos de coleta de lixo (garbage collection), mesmo que o `LoopLimit` esteja configurado como 1.

Em sistemas Unix onde o shell é explicitamente configurado como "sh" ou true e `/bin/sh` aponta para o BusyBox, o software falha ao escapar adequadamente caracteres de til (~) em contextos de atribuição. Um invasor que forneça entradas não confiáveis para as APIs `escape()` e `escapeAll()` em uma atribuição prefixada a um comando pode injetar um payload de til. Isso pode levar à divulgação da localização do diretório home do usuário ou alterar o diretório no qual um comando opera.

Uma correção incompleta para a evasão de guarda de rota permite que um invasor não autenticado acesse arquivos protegidos por uma guarda baseada em rota. O manipulador de arquivos estáticos não realizava a canonicalização de segmentos de ponto, barras duplas, pontos codificados ou barras invertidas antes da correspondência de rota e da delegação para a camada de envio. Ao utilizar uma forma de caminho não canônica, um invasor pode ignorar a rota protegida para expor o conteúdo de arquivos protegidos. Este problema afeta especificamente aplicações que protegem uma subárvore da raiz estática com uma guarda baseada em rota, enquanto aquelas que utilizam a opção `allowedPath` não são afetadas.

O tratamento inadequado da expansão de URL em `Remote.create()` e `Submodule.add()` permite a exfiltração de segredos. Atacantes podem fornecer URLs contendo tokens de variáveis de ambiente que são expandidos nos arquivos `.git/config` e `.gitmodules`. Esses segredos são então transmitidos para hosts controlados pelo atacante durante operações de fetch ou pull.

Nextcloud é uma plataforma de colaboração de conteúdo de código aberto. Uma verificação de permissões ausente permite que usuários solicitem e leiam envios de formulários pertencentes a outros usuários.