Gigioneggiando

**Nome do Software Vulnerável e Versões Afetadas** Moquette versões anteriores a 0.18.1 **Description** O Moquette não limita a profundidade de nomes de tópicos e filtros de tópicos antes de processá-los por meio de operações recursivas de inserção e correspondência de CTrie. Um cliente remoto pode publicar ou se inscrever usando um tópico profundamente aninhado, desencadeando um StackOverflowError—um erro de tempo de execução que ocorre quando a pilha de chamadas da aplicação excede seu limite alocado—o que interrompe o processamento da sessão e resulta em negação de serviço para os clientes do broker. **Recommendations** Atualizar para a versão 0.18.1.

**Nome do Software Vulnerável e Versões Afetadas** Moquette versões anteriores a 0.18.1 **Descrição** No componente `H2PersistentQueue`, os nomes dos mapas de mensagens de sessão são derivados usando o prefixo `queue ` seguido pelo ID do cliente, enquanto os nomes dos mapas de metadados usam `queue `, o ID do cliente e o sufixo ` meta`. Se uma sessão durável utilizar um ID de cliente que termine em ` meta`, seu mapa de mensagens pode colidir com o mapa de metadados de outro cliente. Essa colisão faz com que as sessões leiam e escrevam no mesmo mapa H2 MVStore usando tipos de valores incompatíveis, o que pode corromper os dados de início e fim da fila, causar perda de mensagens, entrega incorreta, falhas no recarregamento da fila ou a exposição de conteúdo enfileirado entre sessões. **Recomendações** Atualizar para a versão 0.18.1.

**Nome do Software Vulnerável e Versões Afetadas** Moquette versões anteriores a 0.18.1 **Description** Quando uma classe de autenticador ou autorizador configurada não pode ser carregada, as funções `Server.initializeAuthenticator()` e `Server.initializeAuthorizatorPolicy()` tratam a falha como se nenhuma classe personalizada tivesse sido configurada. Isso faz com que o sistema retorne para `AcceptAllAuthenticator` ou `PermitAllAuthorizatorPolicy`. Consequentemente, problemas como nomes de classes incorretos, dependências ausentes, falhas no construtor ou problemas de classpath podem resultar na inicialização do broker com a autenticação ou autorização desativadas, apesar da configuração do operador. **Recommendations** Atualizar para a versão 0.18.1.