Bikini

**Nome do Software Vulnerável e Versões Afetadas** Ladybird (versões afetadas não especificadas) **Descrição** Uma falha de segurança de memória do tipo referência pendente (dangling-reference) existe no carregador de módulos de integração ESM do WebAssembly. Quando uma função JavaScript é importada para um módulo WebAssembly via caminho ESM, o arquivo `WebAssemblyModule.cpp` passa um `Wasm::FunctionType` local da pilha por referência para `create host function()`. O callback do host captura essa referência, que se torna pendente assim que a iteração do loop de ligação ESM termina e o `FunctionType` é destruído. Isso permite que o callback do host retorne um vetor de resultado vazio para um resultado estaticamente não vazio, fazendo com que o registrador de destino retenha um valor influenciado por um invasor. Esse valor é então consumido pelo manipulador `array.set` do WASM-GC, que realiza uma verificação de nulo e converte os bits baixos da referência para um ponteiro `ArrayInstance` via bit-cast, resultando em uma gravação arbitrária. Uma página web pode encadear isso para executar código no processo WebContent. Este problema é acessível a partir de conteúdo HTML sem a necessidade de instrumentação ou modificação de código-fonte. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NodeBB (versões afetadas não especificadas) **Descrição** O NodeBB não vincula o autor alegado de um objeto ActivityPub recebido ao ator remoto autenticado. Embora o middleware de entrada verifique o ator da assinatura HTTP e a origem do `object.id`, ele não valida se o parâmetro `attributedTo` corresponde ao remetente. Como a função `actors.assert()` ignora silenciosamente identificadores numéricos, um ator remoto pode definir `attributedTo` para um valor numérico, como `1`, fazendo com que o sistema atribua a postagem ou mensagem privada a um ID de usuário local, incluindo a conta de administrador. Isso permite que um invasor remoto forje postagens e mensagens diretas atribuídas a usuários locais arbitrários. Este problema requer que o recurso de federação ActivityPub esteja habilitado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Desative o recurso de federação ActivityPub para minimizar o risco de exploração.