Bjohansebas

compression is a Node.js and Express compression middleware. In versions before 1.8.2, when a client aborts the connection while a compressed response is still being sent, the zlib stream created to compress that response is never destroyed, so each aborted compressed response leaks its native zlib memory. A remote unauthenticated attacker can repeatedly open requests and disconnect early, exhausting the available memory and crashing the server. All applications using compression are affected. The issue is fixed in compression 1.8.2, and users should upgrade to 1.8.2 or later.

hbs is an Express view engine wrapper for Handlebars. Version 4.3.0 can crash the Node.js process during output escaping when an async helper, registered with registerAsyncHelper, resolves to an object whose toHTML property is truthy but not callable. Handlebars escapeExpression calls the toHTML method on any value that has a truthy toHTML, so such a value throws a TypeError, and because the async substitution runs on a later tick outside the render function's try/catch, the throw is an uncaught exception that terminates the process without sending a response. Only version 4.3.0 is affected, since the throwing escape was introduced by the fix for CVE-2026-16231 and earlier versions do not escape async helper values. It can be triggered remotely when an async helper resolves to an externally influenced object such as parsed JSON. The issue is fixed in hbs 4.3.1, and users should upgrade to hbs 4.3.1 or later.

**Nome do Software Vulnerável e Versões Afetadas** morgan versões anteriores a 1.12.0 **Description** Existe um problema no auxiliar interno utilizado para escapar valores de tokens de log. O software não neutraliza os caracteres de separação de linha Unicode U+0085 (Next Line), U+2028 (Line Separator) e U+2029 (Paragraph Separator). Um cliente remoto não autenticado pode injetar esses caracteres em um token de log controlado pelo invasor, como um nome de usuário de autenticação Basic processado através do token `remote-user`. Isso permite a falsificação de logs (log forging), onde sistemas de processamento de logs subsequentes compatíveis com Unicode dividem um único log de requisição em múltiplos registros lógicos. **Recommendations** Atualize para a versão 1.12.0.

**Nome do Software Vulnerável e Versões Afetadas** multer versões anteriores a 2.3.0 **Description** Existe uma condição de corrida (race condition) no tratamento do fluxo de arquivos quando uma aplicação utiliza um `fileFilter` assíncrono em conjunto com o limite de `fileSize`. Isso permite que arquivos que excedam o limite de tamanho configurado ignorem a rejeição do limite. O impacto é limitado, pois o analisador multipart subjacente ainda trunca o fluxo no limite de tamanho, significando que o problema é uma evasão do mecanismo de rejeição e não um consumo descontrolado de recursos. **Recommendations** Atualize para a versão 2.3.0.

**Nome do Software Vulnerável e Versões Afetadas** multer versões anteriores a 2.3.0 **Description** Ao utilizar o mecanismo de armazenamento em disco para processar multipart/form-data, o software não fecha o descritor de arquivo de gravação subjacente se um upload for abortado ou truncado antes da conclusão do fluxo de gravação. Embora o arquivo visível seja removido, o descritor aberto permanece, causando um vazamento de descritores de arquivo e blocos de disco. Um invasor remoto pode explorar isso enviando uploads multipart abortados ou malformados repetidamente para uma rota de upload, potencialmente esgotando os recursos do sistema e levando a uma negação de serviço. **Recommendations** Atualize para a versão 2.3.0.

**Nome do Software Vulnerável e Versões Afetadas** hbs versões 2.1.0 até 4.2.1 **Description** A API `registerAsyncHelper` no mecanismo de visualização hbs para Express ignora a codificação automática de HTML do Handlebars. Durante a primeira passagem de renderização, um helper assíncrono retorna um marcador opaco que é codificado; no entanto, o hbs subsequentemente substitui esse marcador pelo valor de retorno bruto do callback sem codificá-lo. Isso ocorre nos caminhos de renderização em cache, sem cache e de layout. Se uma aplicação passar dados influenciados por um invasor, como conteúdo fornecido pelo usuário em um banco de dados, para um callback de helper assíncrono, isso pode resultar em cross-site scripting (XSS) armazenado ou refletido, onde HTML e JavaScript arbitrários são injetados na página renderizada pelo servidor. **Recommendations** Atualize para a versão 4.3.0.

**Nome do Software Vulnerável e Versões Afetadas** body-parser versões anteriores a 1.20.6 body-parser versões anteriores a 2.3.0 **Descrição** Quando o parser é configurado com um valor de opção `limit` inválido, como uma string não analisável ou NaN (Not-a-Number), a verificação do tamanho do corpo da requisição é silenciosamente ignorada. Isso ocorre porque o mecanismo de análise interno retorna nulo, fazendo com que aplicações que dependem do parâmetro `limit` como sua principal salvaguarda aceitem cargas úteis arbitrariamente grandes. Isso pode levar ao consumo excessivo de memória e CPU, resultando em uma negação de serviço. **Recomendações** Atualize o body-parser para a versão 1.20.6 ou posterior. Atualize o body-parser para a versão 2.3.0 ou posterior. Valide o valor de `limit` antes de passá-lo ao parser, garantindo que o valor não seja nulo ou um número não finito durante a inicialização.

**Nome do Software Vulnerável e Versões Afetadas** webpack-dev-server versões anteriores a 5.2.6 **Description** Um peer não autenticado pode causar a terminação do processo Node.js, resultando em uma negação de serviço. Isso ocorre quando o servidor recebe uma requisição HTTP normal com um cabeçalho Host malformado ou uma requisição de upgrade de WebSocket para o endpoint `/ws` com um cabeçalho Origin malformado. Os valores malformados disparam uma exceção não capturada no caminho de validação do host, derrubando o servidor de desenvolvimento. O impacto limita-se à disponibilidade do servidor, sem risco de execução de código ou divulgação de dados. **Recommendations** Atualize para a versão 5.2.6 do webpack-dev-server. Mantenha o servidor de desenvolvimento vinculado ao localhost e evite expô-lo a redes não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** webpack-dev-server versões anteriores a 5.2.6 **Description** Os endpoints internos de desenvolvedor '/webpack-dev-server/open-editor' e '/webpack-dev-server/invalidate' executam ações de alteração de estado em requisições GET sem verificar a origem da requisição. Isso permite que qualquer site visitado por um desenvolvedor acione esses endpoints de forma cross-origin. Um invasor pode abrir arquivos locais arbitrários no editor do desenvolvedor, incluindo arquivos fora da raiz do projeto. Além disso, requisições repetidas podem gerar múltiplos processos do editor e forçar recompilações, resultando na degradação do desempenho da máquina do desenvolvedor. **Recommendations** Atualize para o webpack-dev-server 5.2.6.

**Nome do Software Vulnerável e Versões Afetadas** multer versões 2.0.0-alpha.1 até 2.1.1 multer versão 3.0.0-alpha.1 **Description** Um problema de Negação de Serviço ocorre ao utilizar diskStorage. Uploads multipart abortados ou malformados deixam arquivos parciais órfãos no disco porque a chamada `Readable.pipe()` não propaga o sinal de destruição do fluxo para o `fs.WriteStream` subjacente. Isso permite que um invasor esgote o espaço em disco disparando inúmeros uploads abortados. **Recommendations** Atualizar para a versão 2.2.0 para as versões 2.0.0-alpha.1 até 2.1.1. Atualizar para a versão 3.0.0-alpha.2 para a versão 3.0.0-alpha.1.

**Nome do Software Vulnerável e Versões Afetadas** webpack-dev-server versões anteriores a 5.2.5 **Descrição** Um proxy configurado pelo usuário com um contexto amplo (ex: '/') e `ws: true` intercepta o WebSocket de Hot Module Replacement (HMR) do próprio servidor de desenvolvimento e o encaminha para o alvo do proxy. Isso resulta no vazamento de cookies do navegador e do cabeçalho Origin para o backend, além de ignorar a validação de Host/Origin do servidor de desenvolvimento. Adicionalmente, isso causa a corrupção do socket HMR, pois tanto o HMR quanto o proxy tentam escrever no mesmo socket. **Recomendações** Atualize para a versão 5.2.5. Defina o contexto do proxy configurado pelo usuário para caminhos específicos em vez de '/'. Omita `ws: true` da entrada do proxy quando o encaminhamento de WebSocket não for necessário.