Edamame-X

**Name of the Vulnerable Software and Affected Versions** Elysia versions prior to 1.4.26 **Description** Elysia, a Typescript framework used for request validation, type inference, OpenAPI documentation, and client-server communication, contains a Regular Expression Denial of Service (ReDoS) issue. Specifically, the `t.String({ format: 'url' })` function is susceptible to significant slowdowns when provided with a repeated partial URL format (protocol and hostname). This occurs because the regular expression used for URL validation becomes inefficient when processing such input. **Recommendations** Update to version 1.4.26 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Hono anteriores à 4.12.4 **Descrição** O Hono é um framework de aplicações web que oferece suporte a vários runtimes JavaScript. Uma inconsistência na decodificação de URL entre o router (`decodeURI`) e o `serveStatic` (`decodeURIComponent`) permitiu que recursos estáticos protegidos fossem acessados sem autorização ao utilizar proteções de middleware baseadas em rota, como `app.use('/admin/*', ...)`. Especificamente, caminhos contendo barras codificadas (`%2F`) contornaram as proteções de middleware enquanto ainda resolviam para o caminho do sistema de arquivos pretendido. O router tratava `%2F` como uma string literal, enquanto o `serveStatic` o decodificava para `/` antes de resolver o caminho do arquivo. Este problema não permite acesso fora da raiz estática e não se trata de uma vulnerabilidade de path traversal. Um atacante não autenticado poderia contornar a autorização baseada em rota para recursos estáticos protegidos ao fornecer caminhos contendo barras codificadas. Isso afeta aplicações que protegem subcaminhos utilizando middleware baseado em rota e, simultaneamente, servem arquivos a partir da mesma raiz estática usando o `serveStatic`. **Recomendações** As versões anteriores à 4.12.4 devem ser atualizadas para a versão 4.12.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Hono 4.12.0 a 4.12.1 **Descrição** O Hono é um framework para aplicações Web que oferece suporte para qualquer runtime JavaScript. Ao utilizar o adaptador do AWS Lambda (`hono/aws-lambda`) atrás de um Application Load Balancer (ALB), a função `getConnInfo()` selecionava incorretamente o primeiro valor do cabeçalho `X-Forwarded-For`. Como o AWS ALB anexa o endereço IP real do cliente ao final do cabeçalho `X-Forwarded-For`, o primeiro valor pode ser controlado por um atacante. Isso poderia permitir que mecanismos de controle de acesso baseados em IP, como o middleware `ipRestriction`, fossem contornados. O cabeçalho `X-Forwarded-For` é utilizado para identificar o endereço IP de origem de um cliente que se conecta a um servidor web através de um proxy HTTP ou balanceador de carga. **Recomendações** Versões anteriores à 4.12.2 são afetadas. Atualize para a versão 4.12.2 ou posterior para resolver esta questão.