Blakeembrey

multiparty é uma biblioteca Node.js utilizada para analisar corpos de requisição multipart/form-data. O analisador não limita a memória utilizada ao acumular cabeçalhos de uma única parte multipart. Um invasor não autenticado pode explorar isso enviando uma requisição que contenha um volume excessivo de bytes de cabeçalho, forçando o analisador a armazenar todos esses dados e esgotar a memória do processo, resultando em uma negação de serviço que derruba o servidor.

A biblioteca não valida adequadamente as opções `domain` e `path`, verificando-as contra um correspondente de conteúdo de campo RFC 7230 permissivo que permite pontos e vírgulas. Como esses valores são gravados no cabeçalho Set-Cookie sem escape, um aplicativo que passa dados não confiáveis ou derivados de requisições para essas opções permite a injeção de atributos Set-Cookie. Isso pode permitir que um invasor substitua atributos como `SameSite`, `Secure`, `HttpOnly` ou `Domain` nos cookies emitidos.

Existe uma falha de bypass de autenticação e autorização devido à decodificação inconsistente de URL entre o roteador Fastify e o manipulador de arquivos estáticos. O roteador trata separadores de caminho codificados em percentual (`%2F`) como caracteres literais, enquanto o manipulador estático os decodifica antes da resolução do sistema de arquivos. Essa divergência permite que atacantes ignorem middlewares ou guardas baseados em rotas destinados a proteger caminhos específicos. Por exemplo, uma requisição para `/admin%2Fsecret.html` pode não corresponder a uma guarda para `/admin/*`, mas ainda assim será resolvida e servida como `/admin/secret.html` pelo manipulador estático.

The software is susceptible to a Regular Expression Denial of Service (ReDoS) condition when handling multiple wildcard characters combined with at least one parameter. This issue arises because the generated regular expression can lead to excessive backtracking when the second wildcard is not at the end of the path. Unsafe examples include '/*foo-*bar-:baz', '/*a-:b-*c-:d', and '/x/*a-:b/*c/y'. Safe examples include '/*foo-:bar' and '/*foo-:bar-*baz'. ReDoS is a type of attack where a carefully crafted input causes the regular expression engine to take an extremely long time to process, potentially leading to a denial of service.

A flawed regular expression is created when multiple sequential optional groups (using curly brace syntax) are present, such as `{a}{b}{c}:z`. The resulting regular expression expands exponentially with the number of groups, potentially leading to a denial of service. Avoid passing user-controlled input as route patterns.

O problema diz respeito a uma vulnerabilidade de desempenho no path-to-regexp, na qual certas entradas podem gerar expressões regulares vulneráveis a backtracking, levando a um desempenho insatisfatório. Essa vulnerabilidade existe devido a uma correção incompleta.

O nome do cookie poderia ser usado para definir outros campos do cookie, resultando em um valor inesperado do cookie. Uma fuga semelhante pode ser usada para `path` e `domain`, o que poderia ser abusado para alterar outros campos do cookie. Por exemplo, `serialize("userName=<script>alert(‘XSS3’)</script>; Max-Age=2592000; a“, value)` resultaria em `”userName=<script>alert(‘XSS3’)</script>; Max-Age=2592000; a=test"`, definindo o cookie `userName` como `<script>` e ignorando `value`.

A flawed regular expression is generated when three or more parameters are present within a single segment, separated by characters other than a period (`.`). For example, `/:a-:b-:c` or `/:a-:b-:c-:d`. The backtrack protection introduced in `path-to-regexp@0.1.12` only addresses ambiguity for two parameters. With three or more parameters, the generated lookahead does not prevent single separator characters from causing capture groups to overlap, leading to catastrophic backtracking. Custom regular expression patterns defined in route definitions, such as `/:a-:b([^-/]+)-:c([^-/]+)`, are not affected as they override the default capture group.

O problema surge quando o path-to-regexp gera uma expressão regular que pode causar baixo desempenho, levando a uma Negação de Serviço (DoS). Isso ocorre quando há dois parâmetros dentro de um único segmento, separados por algo que não seja um ponto (.). Por exemplo, `/:a-:b` pode produzir uma expressão regular que pode ser explorada. O impacto estimado é significativo, com desempenho mais de 1000 vezes pior do que a expressão regular segura em benchmarks locais. Em um ambiente realista, isso pode resultar em uma latência média de ~600 ms contra 1 ms.