Flavorjones

**Nome do Software Vulnerável e Versões Afetadas** Nokogiri versões anteriores a 1.19.3 **Description** Existe uma negação de serviço por expressão regular no tokenizador de seletores CSS, afetando especificamente a tokenização de literais de string e identificadores. Atacantes podem causar o retrocesso exponencial de regex, levando a uma negação de serviço, ao injetar seletores CSS adversários nos métodos `Node#css`, `Node#at css` e `Searchable#search`. **Recommendations** Atualize para a versão 1.19.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Nokogiri versões anteriores a 1.19.3 **Description** Existe um vazamento de memória no método de transformação de XSLT Stylesheet ao processar strings Ruby que contenham bytes nulos. Um invasor pode desencadear isso fornecendo entradas com bytes nulos para parâmetros de transformação, levando ao vazamento de alocações de heap. Isso pode resultar em negação de serviço para processos de longa execução. **Recommendations** Atualize para a versão 1.19.3 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do Loofah de 2.2.0 a 2.19.0 **Descrição** O Loofah é uma biblioteca geral para manipulação e transformação de documentos e fragmentos HTML/XML, desenvolvida com base no Nokogiri. Ele utiliza recursão para sanitizar seções CDATA, o que o torna suscetível a esgotamento da pilha e à geração de uma exceção SystemStackError. Isso pode levar a uma negação de serviço por meio do consumo de recursos da CPU. **Recomendações** Para as versões 2.2.0 a 2.19.0 do Loofah, atualize para a versão 2.19.1 para resolver o problema. Como solução alternativa temporária para usuários que não possam atualizar, considere limitar o comprimento das strings que são sanitizadas para mitigar a vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Mechanize anteriores à 2.8.5 **Descrição** A biblioteca Mechanize, usada para automatizar a interação com sites, apresenta uma falha na qual o cabeçalho de autorização é exposto após um redirecionamento para uma porta diferente no mesmo site. Isso ocorre em versões anteriores à 2.8.5. A biblioteca armazena e envia cookies automaticamente, segue redirecionamentos e pode seguir links e enviar formulários. **Recomendações** Para versões do Mechanize anteriores à 2.8.5, atualize para o Mechanize v2.8.5 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a informações confidenciais que possam vazar devido ao problema do cabeçalho de autorização, até que um patch seja aplicado.