Chenjj

A função `splitPos()` do transporte FastCGI em `modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go` utiliza incorretamente o recurso `search.IgnoreCase` da biblioteca `golang.org/x/text/search` quando o caminho de uma requisição contém bytes não-ASCII. Isso resulta em duas falhas: um problema de fluxo de controle onde uma variável `match` obsoleta permite que arquivos que não são scripts sejam tratados como tal, e um problema de equivalência Unicode onde caracteres semelhantes não-ASCII são convertidos em caracteres ASCII (por exemplo, tratando `.𝗽𝗵𝗽` como `.php`). Em implementações onde um invasor pode fazer upload ou colocar conteúdo em arquivos servidos via FastCGI, essas falhas podem ser exploradas através da criação de uma URL específica para alcançar a execução remota de código.

O problema está relacionado ao tratamento incorreto de dados de entrada altamente compactados no pacote go-jose, que implementa o conjunto de padrões de Assinatura e Criptografia de Objetos JavaScript (JWE). Um invasor poderia enviar um JWE contendo dados compactados que utilizam grandes quantidades de memória e CPU quando descompactados pelas funções `Decrypt` ou `DecryptMulti`. Essas funções agora retornam um erro se os dados descompactados excederem 250 kB ou 10 vezes o tamanho compactado (o que for maior).

The issue in Gevent is related to insufficient validation of executed requests in the WSGIServer component, allowing a remote attacker to escalate privileges via a crafted script. This can impact the integrity, availability, and confidentiality of protected information.

Name of the Vulnerable Software and Affected Versions: Yii versions 2.x through 2.0.15.1 Description: The issue arises from the active conversion of a wildcard CORS policy into reflecting an arbitrary Origin header value. This behavior is incompatible with the CORS security design and could lead to CORS misconfiguration security problems. Recommendations: For versions 2.x through 2.0.15.1, consider disabling the automatic conversion of wildcard CORS policies to prevent reflecting arbitrary Origin header values until a patch is available. Restrict access to sensitive resources to minimize the risk of exploitation.