Blakeembrey

multiparty is a Node.js library for parsing multipart/form-data request bodies. In versions from 2.1.0 up to but not including 4.3.1, the parser does not bound the amount of memory used while accumulating the headers of a single multipart part. An unauthenticated attacker can send a single request whose part carries a very large volume of header bytes, forcing the parser to buffer all of them and exhausting the process memory, which crashes the server. This is a denial of service with no confidentiality or integrity impact. The issue is fixed in multiparty 4.3.1, which caps the size of the accumulated part headers. Users should upgrade to multiparty 4.3.1 or later.

cookies is a Node.js library for reading and writing HTTP cookies, used by Koa via ctx.cookies. In versions before 0.9.2 the library validates the cookie name and value against character sets that reject the semicolon separator, but the domain and path options are checked only against a permissive RFC 7230 field-content matcher that allows semicolons, and both are written into the Set-Cookie header unescaped. An application that passes untrusted or request-derived data into the domain or path option can therefore inject additional cookie attributes, overriding SameSite, Secure, HttpOnly, or Domain on the cookies the application issues. This is a Set-Cookie attribute injection issue (CWE-74). The issue is fixed in cookies 0.9.2, which validates domain and path against RFC 6265 character sets. As a workaround, keep domain and path application-set rather than derived from untrusted input.

**Nome do Software Vulnerável e Versões Afetadas** @fastify/static versões 8.0.0 a 9.1.0 **Description** Existe uma falha de bypass de autenticação e autorização devido à decodificação inconsistente de URL entre o roteador Fastify e o manipulador de arquivos estáticos. O roteador trata separadores de caminho codificados em percentual (`%2F`) como caracteres literais, enquanto o manipulador estático os decodifica antes da resolução do sistema de arquivos. Essa divergência permite que atacantes ignorem middlewares ou guardas baseados em rotas destinados a proteger caminhos específicos. Por exemplo, uma requisição para `/admin%2Fsecret.html` pode não corresponder a uma guarda para `/admin/*`, mas ainda assim será resolvida e servida como `/admin/secret.html` pelo manipulador estático. **Recommendations** Atualize o @fastify/static para a versão 9.1.1.

**Name of the Vulnerable Software and Affected Versions** path-to-regexp versions prior to 8.4.0 **Description** The software is susceptible to a Regular Expression Denial of Service (ReDoS) condition when handling multiple wildcard characters combined with at least one parameter. This issue arises because the generated regular expression can lead to excessive backtracking when the second wildcard is not at the end of the path. Unsafe examples include '/*foo-*bar-:baz', '/*a-:b-*c-:d', and '/x/*a-:b/*c/y'. Safe examples include '/*foo-:bar' and '/*foo-:bar-*baz'. ReDoS is a type of attack where a carefully crafted input causes the regular expression engine to take an extremely long time to process, potentially leading to a denial of service. **Recommendations** Versions prior to 8.4.0 should be upgraded to version 8.4.0. If using multiple wildcard parameters, check the regex output with a tool to confirm whether a path is vulnerable.

**Name of the Vulnerable Software and Affected Versions** path-to-regexp versions prior to 8.4.0 **Description** A flawed regular expression is created when multiple sequential optional groups (using curly brace syntax) are present, such as `{a}{b}{c}:z`. The resulting regular expression expands exponentially with the number of groups, potentially leading to a denial of service. Avoid passing user-controlled input as route patterns. **Recommendations** Versions prior to 8.4.0 should be updated to version 8.4.0 or later. Limit the number of sequential optional groups in route patterns.

**Nome do software vulnerável e versões afetadas** path-to-regexp, versões 0.1.x a 0.1.11 **Descrição** O problema diz respeito a uma vulnerabilidade de desempenho no path-to-regexp, na qual certas entradas podem gerar expressões regulares vulneráveis a backtracking, levando a um desempenho insatisfatório. Essa vulnerabilidade existe devido a uma correção incompleta. **Recomendações** Atualize para a versão 0.1.12. Como solução alternativa temporária, considere evitar o uso de dois parâmetros dentro de um único segmento de caminho quando o separador não for `.` (por exemplo, nada de `/:a-:b`). Como alternativa, defina a expressão regular usada para ambos os parâmetros e certifique-se de que eles não se sobreponham para permitir o backtracking.

**Nome do software vulnerável e versões afetadas** Versões do cookie anteriores à 0.7.0 **Descrição** O nome do cookie poderia ser usado para definir outros campos do cookie, resultando em um valor inesperado do cookie. Uma fuga semelhante pode ser usada para `path` e `domain`, o que poderia ser abusado para alterar outros campos do cookie. Por exemplo, `serialize("userName=<script>alert(‘XSS3’)</script>; Max-Age=2592000; a“, value)` resultaria em `”userName=<script>alert(‘XSS3’)</script>; Max-Age=2592000; a=test"`, definindo o cookie `userName` como `<script>` e ignorando `value`. **Recomendações** Atualize para a versão 0.7.0, que atualiza a validação para `name`, `path` e `domain`. Como solução temporária, evite passar valores não confiáveis ou arbitrários para esses campos; certifique-se de que eles sejam definidos pelo aplicativo, em vez de pela entrada do usuário.

**Name of the Vulnerable Software and Affected Versions** path-to-regexp versions prior to 0.1.13 **Description** A flawed regular expression is generated when three or more parameters are present within a single segment, separated by characters other than a period (`.`). For example, `/:a-:b-:c` or `/:a-:b-:c-:d`. The backtrack protection introduced in `path-to-regexp@0.1.12` only addresses ambiguity for two parameters. With three or more parameters, the generated lookahead does not prevent single separator characters from causing capture groups to overlap, leading to catastrophic backtracking. Custom regular expression patterns defined in route definitions, such as `/:a-:b([^-/]+)-:c([^-/]+)`, are not affected as they override the default capture group. **Recommendations** Upgrade to path-to-regexp@0.1.13. As a workaround, provide a custom regular expression for parameters after the first in a single segment, ensuring it does not match the text preceding the parameter. For example, change `/:a-:b-:c` to `/:a-:b([^-/]+)-:c([^-/]+)`. If paths cannot be rewritten and versions cannot be upgraded, limit the URL length.

**Nome do software vulnerável e versões afetadas** Versões do path-to-regexp anteriores à 0.1.10 Versões do path-to-regexp anteriores à 8.0.0 **Descrição** O problema surge quando o path-to-regexp gera uma expressão regular que pode causar baixo desempenho, levando a uma Negação de Serviço (DoS). Isso ocorre quando há dois parâmetros dentro de um único segmento, separados por algo que não seja um ponto (.). Por exemplo, `/:a-:b` pode produzir uma expressão regular que pode ser explorada. O impacto estimado é significativo, com desempenho mais de 1000 vezes pior do que a expressão regular segura em benchmarks locais. Em um ambiente realista, isso pode resultar em uma latência média de ~600 ms contra 1 ms. **Recomendações** Para usuários da versão 0.1, atualize para a 0.1.10. Para todos os outros usuários, atualize para a 8.0.0. Como solução temporária, considere fornecer uma expressão regular personalizada para parâmetros após o primeiro em um único segmento, garantindo que ela não corresponda ao texto antes do parâmetro. Alternativamente, limite o comprimento da URL para melhorar o desempenho, por exemplo, reduzindo pela metade a string de ataque, o que pode melhorar o desempenho em 4 vezes.