Bilerden

O protobufjs compila definições protobuf em funções JavaScript. O software analisa nomes de opções avançando pelos tokens do esquema até encontrar um token = sem verificar o fim da entrada. Consequentemente, um esquema .proto especialmente criado que abre uma declaração de opção e termina prematuramente pode fazer com que as funções `parse()`, `Root.load()` ou `Root.loadSync()` entrem em loop indefinidamente.

o axios é suscetível a gadgets de poluição de protótipo do lado de leitura (read-side prototype pollution) que podem alterar a construção de requisições se o `Object.prototype` tiver sido poluído por outra vulnerabilidade ou dependência. Em aliases de métodos sem corpo, como `axios.get()`, `axios.delete()`, `axios.head()` e `axios.options()`, o software lê `data` herdado via `(config || {}).data` antes da normalização da configuração. Isso permite que um atacante injete um corpo de requisição controlado em requisições que não deveriam ter um, potencialmente corrompendo a semântica da requisição no serviço receptor. Além disso, caminhos de baixo nível são afetados quando adaptadores ou helpers exportados (como `lib/adapters/http.js` e `unsafe/helpers/resolveConfig.js`) são chamados diretamente com configurações simples. Nesses casos, o software pode herdar valores de `proxy` poluídos, roteando requisições através de um proxy controlado por um atacante, ou valores de `paramsSerializer` poluídos, permitindo a serialização de URL controlada por um atacante. Esses problemas de baixo nível não ocorrem em chamadas normais de alto nível do axios nas versões 1.15.2 e posteriores.

Na implementação JRuby, a opção de análise `NONET` — ativada por padrão para `Nokogiri::XML::Schema` — não era aplicada corretamente. Isso permite que um esquema analisado com as opções padrão busque recursos externos pela rede, o que pode levar a ataques de Server-Side Request Forgery (SSRF) ou XML External Entity (XXE). SSRF é uma técnica onde um invasor induz um servidor a fazer requisições para um local não pretendido, e XXE é um ataque que interfere no processamento de entrada XML de uma aplicação.

CarrierWave é um framework utilizado para upload de arquivos em aplicações Ruby. A verificação `content type denylist` falha ao escapar metacaracteres de regex em entradas de string, fazendo com que a denylist não corresponda silenciosamente aos tipos de conteúdo que deveria bloquear. Na função `denylisted content type()`, as entradas da denylist são interpoladas diretamente em uma expressão regular sem o uso de `Regexp.quote` ou ancoragem. Por exemplo, uma entrada como `image/svg+xml` é tratada como um padrão onde o caractere `+` é interpretado como um quantificador em vez de um caractere literal, impedindo a correspondência com o tipo MIME real. Outros tipos de conteúdo que contêm metacaracteres de regex, como `application/xhtml+xml`, também são afetados. Isso permite que um invasor faça o upload de arquivos, como arquivos SVG contendo JavaScript arbitrário, o que pode levar a Cross-Site Scripting (XSS) armazenado se a aplicação servir o arquivo inline a partir de sua própria origem.