Aphuongkma

Atacantes autenticados com a opção `allow run as` habilitada podem causar a negação de serviço ao esgotar os recursos da CPU. Isso ocorre quando estruturas JSON com aninhamento arbitrariamente profundo são enviadas para o endpoint 'POST /security/user/authenticate/run as'. Ao enviar repetidamente corpos `auth context` malformados com profundidade de aninhamento ilimitada, a estrutura da API consome CPU excessiva, negando o serviço a outros consumidores da API.

A função `ToHook()` em `services/webhook/general.go` descriptografa o campo `HeaderAuthorizationEncrypted` e retorna o cabeçalho de autorização em texto simples na resposta da API. Isso permite que administradores de repositório leiam credenciais sensíveis, como tokens Bearer, credenciais de autenticação Basic e chaves de API, configuradas por outros administradores. O problema ocorre porque a função descriptografa o segredo armazenado no banco de dados usando a `SecretKey` do servidor antes de serializá-lo na resposta, convertendo efetivamente um segredo de apenas gravação em uma credencial legível.