Cruzryan

**Nome do Software Vulnerável e Versões Afetadas** simple-git versões anteriores a 4.0.0 **Description** O `blockUnsafeOperationsPlugin` padrão compara os nomes das opções analisadas com grafias literais de opções perigosas, porém o Git aceita abreviações não ambíguas de opções longas. Isso permite que argumentos de push influenciados por atacantes, como formas abreviadas de `--receive-pack` ou `--exec`, ignorem a função `detectVulnerableFlags`. Consequentemente, o Git pode invocar um comando selecionado pelo atacante quando esses argumentos são passados para um remoto local ou de arquivo, ou para um alvo de receive-pack influenciado pelo atacante. **Recommendations** Atualize para a versão 4.0.0.

**Nome do Software Vulnerável e Versões Afetadas** ip-address versões 10.2.0 até 10.5.0 **Description** O classificador `Address6.isPrivate` em `src/ipv6.ts` não reconhece a faixa de uso local NAT64 `64:ff9b:1::/48`. Consequentemente, as funções `isPrivate()`, `isLoopback()` e `isLinkLocal()` retornam `false` para endereços dentro desta faixa, fazendo com que destinos IPv4 internos codificados via um prefixo NAT64 de uso local sejam incorretamente identificados como endereços globais. Isso pode levar a uma violação de limite de confiança em aplicações que utilizam essas verificações para prevenir Server-Side Request Forgery (SSRF), um ataque no qual um endereço fornecido pelo usuário engana o servidor para fazer requisições a destinos internos, como serviços de loopback ou endpoints de metadados de nuvem. A exploração requer que a rede do servidor utilize um prefixo NAT64 selecionado pelo operador dentro da faixa de uso local. **Recommendations** Atualize o ip-address para a versão 10.5.1. Como solução temporária, teste manualmente se um host está dentro da faixa de uso local NAT64 utilizando `isHostInSubnet()` com a sub-rede `64:ff9b:1::/48`.

**Nome do Software Vulnerável e Versões Afetadas** stream-json versões anteriores a 3.6.0 **Description** O componente Assembler materializa propriedades de objetos usando atribuição simples. Quando uma chave de entrada é nomeada como ` proto `, ela invoca o setter herdado, levando à substituição do protótipo do objeto analisado em vez de criar uma propriedade de dados própria. Isso pode permitir que aplicações que dependem de valores herdados para decisões de autorização ou funcionalidades consumam propriedades controladas por um atacante. Além disso, um protótipo nulo pode interromper códigos que esperam métodos do Object.prototype padrão. Embora o Object.prototype global não seja poluído, o problema ocorre ao analisar JSON não confiável. **Recommendations** Atualize para a versão 3.6.0.