Arjun Jain

Um problema de complexidade algorítmica permite que atacantes remotos não autenticados causem consumo excessivo de CPU. Ao criar mensagens de e-mail multipart profundamente aninhadas, onde as linhas de limite compartilham prefixos longos com limites abertos, os atacantes podem bloquear o loop de eventos do Node.js por vários segundos por mensagem. Isso ocorre na função `processLine()`, onde o custo de processamento escala com base na profundidade do aninhamento (até o `maxNestingDepth` padrão de 256) e no comprimento do prefixo compartilhado.

Existe uma falha de bypass de validação de entradas duplicadas onde atacantes podem evadir a verificação `readEntries()` usando nomes de entrada canonicamente equivalentes, como './hello.txt' e 'hello.txt'. Isso permite a criação de arquivos ZIP onde `getEntry()` ou `readAsText()` validam conteúdo benigno, mas `extractAllTo()` grava conteúdo malicioso no mesmo caminho, ignorando as verificações de integridade.

Existe um problema onde atacantes podem executar JavaScript arbitrário ao incorporar uma tag YAML personalizada `!js`. Durante a análise do documento, o callback de construção chama incondicionalmente a função `eval()` em valores de string fornecidos pelo atacante. Aplicações que analisam entradas YAML não confiáveis usando esta biblioteca ficam expostas à autoridade total do runtime do Node.js, o que inclui a capacidade de acessar variáveis de ambiente, ler e gravar no sistema de arquivos, acessar a rede e executar subprocessos. Não há alternativa de modo seguro ou mecanismo de exclusão disponível.

Existe um controle de acesso inadequado nos controladores administrativos localizados em `Espace admin/controleur/`. Atacantes não autenticados podem ignorar as proteções de autenticação baseadas em sessão enviando requisições HTTP brutas que ignoram redirecionamentos. Isso ocorre porque a função de redirecionamento `header()` do PHP não é seguida por uma chamada `exit` ou `die`, permitindo que o código subsequente e as operações de banco de dados sejam executados independentemente do estado da sessão. Atacantes podem acionar ações administrativas destrutivas, como a exclusão de registros, ao direcionar endpoints de controladores usando o parâmetro GET `supp`.

O Atals-Livre contém uma falha de SQL injection que permite a atacantes manipular consultas ao banco de dados. Isso ocorre quando entradas não sanitizadas são passadas através de um parâmetro GET para a função auxiliar de exclusão `supp()`. Atacantes podem injetar sintaxe SQL maliciosa para realizar operações não autorizadas no banco de dados, como a extração ou exclusão de dados.