Chenjj

**Nome do Software Vulnerável e Versões Afetadas** Caddy versões 2.7.0 a 2.11.2 **Descrição** A função `splitPos()` do transporte FastCGI em `modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go` utiliza incorretamente o recurso `search.IgnoreCase` da biblioteca `golang.org/x/text/search` quando o caminho de uma requisição contém bytes não-ASCII. Isso resulta em duas falhas: um problema de fluxo de controle onde uma variável `match` obsoleta permite que arquivos que não são scripts sejam tratados como tal, e um problema de equivalência Unicode onde caracteres semelhantes não-ASCII são convertidos em caracteres ASCII (por exemplo, tratando `.𝗽𝗵𝗽` como `.php`). Em implementações onde um invasor pode fazer upload ou colocar conteúdo em arquivos servidos via FastCGI, essas falhas podem ser exploradas através da criação de uma URL específica para alcançar a execução remota de código. **Recomendações** Atualize para a versão 2.11.3.

**Nome do software vulnerável e versões afetadas** Versões do go-jose anteriores à 2.6.3 Versões do go-jose anteriores à 3.0.3 Versões do go-jose anteriores à 4.0.1 **Descrição** O problema está relacionado ao tratamento incorreto de dados de entrada altamente compactados no pacote go-jose, que implementa o conjunto de padrões de Assinatura e Criptografia de Objetos JavaScript (JWE). Um invasor poderia enviar um JWE contendo dados compactados que utilizam grandes quantidades de memória e CPU quando descompactados pelas funções `Decrypt` ou `DecryptMulti`. Essas funções agora retornam um erro se os dados descompactados excederem 250 kB ou 10 vezes o tamanho compactado (o que for maior). **Recomendações** Para versões anteriores à 2.6.3, atualize para a versão 2.6.3 ou posterior. Para versões anteriores à 3.0.3, atualize para a versão 3.0.3 ou posterior. Para versões anteriores à 4.0.1, atualize para a versão 4.0.1 ou posterior. Como solução temporária, considere restringir o uso das funções `Decrypt` e `DecryptMulti` até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** Gevent versions prior to 23.9.1 Gevent version 23.9.0 **Description** The issue in Gevent is related to insufficient validation of executed requests in the WSGIServer component, allowing a remote attacker to escalate privileges via a crafted script. This can impact the integrity, availability, and confidentiality of protected information. **Recommendations** For Gevent versions prior to 23.9.1, update to version 23.9.1 or later to resolve the issue. For Gevent version 23.9.0, update to version 23.9.1 to resolve the issue. As a temporary workaround, consider restricting access to the WSGIServer component until a patch is available.

Name of the Vulnerable Software and Affected Versions: Yii versions 2.x through 2.0.15.1 Description: The issue arises from the active conversion of a wildcard CORS policy into reflecting an arbitrary Origin header value. This behavior is incompatible with the CORS security design and could lead to CORS misconfiguration security problems. Recommendations: For versions 2.x through 2.0.15.1, consider disabling the automatic conversion of wildcard CORS policies to prevent reflecting arbitrary Origin header values until a patch is available. Restrict access to sensitive resources to minimize the risk of exploitation.