Grahamcampbell

Um problema de negação de serviço existe no componente `XmlRenderer`, que gera indentação proporcional à profundidade para cada tag XML. Um invasor pode fornecer estruturas de Markdown ou Árvore de Sintaxe Abstrata (AST) profundamente aninhadas para causar consumo de memória quadrático e amplificação de saída, levando ao esgotamento dos recursos do servidor.

A extensão Footnote falha ao desduplicar definições de notas de rodapé. Isso permite que atacantes criem documentos com definições e referências de notas de rodapé duplicadas para desencadear uma expansão de saída quadrática, consumindo memória e CPU excessivos para esgotar os recursos do servidor, resultando em uma negação de serviço.

Um problema de negação de serviço existe na extensão Attributes. A função `findTargetAndDirection()` em `AttributesListener` realiza a varredura de lista de irmãos em tempo quadrático. Atacantes não autenticados podem explorar isso enviando aproximadamente 32 KB de blocos de atributos repetidos, fazendo com que o processo de parsing exceda 5 segundos e esgote os recursos do servidor.

Um problema de negação de serviço existe na função `UniqueSlugNormalizer::normalize()`. O problema ocorre quando a função reinicia sua busca de sufixo numérico a partir de 1 a cada colisão de slug, resultando em uma complexidade de tempo O(K^2) para K cabeçalhos que colapsam para o mesmo slug base. Este caminho é acionado quando as extensões `HeadingPermalinkExtension`, `FootnoteExtension` ou `TableOfContentsExtension` estão registradas. Um invasor não autenticado pode fornecer um pequeno documento Markdown contendo muitos cabeçalhos que resolvem para um único slug base, como textos de cabeçalho idênticos, cabeçalhos compostos apenas por pontuação ou cabeçalhos ATX vazios, resultando em consumo excessivo de CPU.

Os manipuladores cURL integrados (`CurlHandler` e `CurlMultiHandler`) falham ao isolar adequadamente os cabeçalhos `Proxy-Authorization` dos servidores de origem. Isso ocorre porque os manipuladores colocam os cabeçalhos de requisição de primeira classe na lista de cabeçalhos de origem (`CURLOPT HTTPHEADER`) e apenas os movem para a lista exclusiva do proxy (`CURLOPT PROXYHEADER`) quando um proxy HTTP ou HTTPS é previsto. Consequentemente, as credenciais do proxy podem ser enviadas ao servidor de origem se a requisição for direta, ignorada via configurações `no proxy`, enviada através de um proxy SOCKS ou redirecionada de um salto com proxy para uma rota sem proxy. Em sistemas com libcurl anterior a 7.37.0 ou extensões PHP cURL que carecem de `CURLOPT PROXYHEADER`, `CURLOPT HEADEROPT` e `CURLHEADER SEPARATE`, nenhum canal exclusivo de proxy está disponível, mantendo o cabeçalho na lista de origem para todas as rotas. Além disso, o manipulador de stream pode expor credenciais quando combinado com sobreposições brutas de `stream context.http.proxy`. Um invasor que controle o servidor de origem pode capturar essas credenciais privadas por meio de logs de acesso ou sistemas de rastreamento. Isso pode permitir que o invasor abuse de proxies com controle de acesso ou personifique o principal do proxy.

Um problema de negação de serviço existe no componente `CookieJar`. O sistema aceita um número ilimitado de campos de cabeçalho `Set-Cookie` sem restrições de tamanho. Um servidor malicioso pode retornar diversos cookies grandes, forçando a aplicação a armazenar dados excessivos na memória e gerar cabeçalhos `Cookie` superdimensionados. Isso pode levar ao aumento do consumo de memória, maior tempo de processamento e falhas nas requisições quando o cabeçalho gerado excede os limites de um manipulador, implementação HTTP, proxy ou servidor de destino. Além disso, um servidor em um host irmão pode definir cookies de domínio pai que afetam outros serviços irmãos que utilizam o mesmo jar. Este problema ocorre quando o suporte a cookies integrado está habilitado e um jar é reutilizado após o recebimento de uma resposta controlada por um invasor.

Um problema de divulgação de informações existe no `RedirectMiddleware` quando a configuração opcional `allow redirects.referer` está habilitada. Durante um redirecionamento de mesmo esquema (como HTTPS para HTTPS), o middleware copia o fragmento da URI — a parte da URI após o símbolo `#` — para o cabeçalho `Referer` gerado. Embora os fragmentos de URI sejam normalmente processados localmente pelo cliente e não enviados ao servidor na requisição inicial, esse comportamento permite que um servidor de destino que controle o redirecionamento leia o fragmento a partir do cabeçalho recebido. Isso pode levar à divulgação de dados sensíveis do cliente, como tokens de acesso, valores de estado ou segredos de login de uso único. Este problema afeta tanto os manipuladores cURL quanto os de stream. A configuração `referer` é desativada por padrão.

O componente `CookieJar` falha ao preservar o escopo de cookies exclusivos do host (host-only) que são definidos sem um atributo `Domain` ou com um atributo vazio. Em vez de marcar esses cookies como exclusivos do host, o software armazena o host da requisição no campo `Domain`. Esse comportamento permite que cookies destinados exclusivamente a um host pai sejam enviados para hosts filhos se o mesmo jar de cookies for reutilizado entre diferentes limites de confiança. Um invasor que controle um host filho poderá, potencialmente, interceptar informações sensíveis, como identificadores de sessão e tokens de autorização. Este problema também afeta o `FileCookieJar` e o `SessionCookieJar`, pois eles persistem o host da requisição sem registrar o estado de exclusividade do host. A vulnerabilidade é ativada quando uma aplicação habilita o suporte a cookies, reutiliza um jar de cookies integrado e faz requisições tanto para um host pai confiável quanto para um host filho menos confiável.

A função `Uri::assertValidHost()` não rejeita componentes de host de URI que contenham delimitadores de autoridade, portas incorporadas ou colchetes IPv6 malformados. Essa discrepância permite que o `Uri::getHost()` retorne um valor diferente da autoridade de URI utilizada para decisões de roteamento ou segurança.

O componente `CookieJar` não restringe cookies com escopo de endereços IP ou valores de Domínio puramente numéricos ao host específico que os definiu. Isso ocorre porque a função `matchesDomain()` aplica a correspondência de sufixo comum a domínios como `192.168.0.1`, `[::1]` ou `1`. Esse comportamento pode permitir a fixação de sessão, injeção de cookies ou a divulgação de cookies entre hosts diferentes.

Em certas configurações, o tráfego que deveria ser protegido por TLS no salto para o proxy é transmitido em texto simples. Isso ocorre quando uma aplicação utiliza os manipuladores cURL integrados (`GuzzleHttpHandlerCurlHandler` e `GuzzleHttpHandlerCurlMultiHandler`) com um proxy `https://` enquanto executa versões do libcurl anteriores a 7.50.2, que tratam silenciosamente proxies HTTPS como proxies HTTP de texto simples. Consequentemente, as credenciais de autenticação do proxy — incluindo o cabeçalho `Proxy-Authorization`, informações de usuário do proxy na URL do proxy ou `CURLOPT PROXYUSERPWD` — são enviadas sem criptografia. Além disso, o host e a porta de destino `CONNECT` para solicitações HTTPS tuneladas são expostos e, para solicitações HTTP simples, tanto os cabeçalhos quanto os corpos são expostos no trecho do proxy.

The issue is related to improper header parsing, where an attacker could sneak in a newline into both the header names and values, potentially leading to denial of service vectors or application errors. This can occur when users create HTTP requests or responses using laminas/laminas-diactoros and provide a newline at the start or end of a header key or value, causing an invalid message.

The issue allows an attacker to sneak in a newline (` `) into both the header names and values. Although the specification states that `r r ` is used to terminate the header list, many servers also accept ` `. This could enable an attacker to craft invalid messages, potentially causing application errors or invalid HTTP requests being sent out with a PSR-18 HTTP client. The latter might present a denial of service vector if a remote service's web application firewall bans the application due to the receipt of malformed requests.

O Guzzle, um cliente HTTP extensível para PHP, apresenta uma falha em que os cabeçalhos `Authorization` e `Cookie` nas solicitações são informações confidenciais. Nas versões afetadas, ao fazer uma solicitação que responde com um redirecionamento para uma URI com uma porta diferente, se o redirecionamento for seguido, os cabeçalhos `Authorization` e `Cookie` devem ser removidos da solicitação antes de prosseguir. Anteriormente, apenas alterações no host ou no esquema acionavam essa remoção.

O problema diz respeito à análise incorreta de cabeçalhos, permitindo que um invasor insira um caractere de nova linha (` `) tanto nos nomes quanto nos valores dos cabeçalhos. Muitos servidores também aceitam ` ` para encerrar a lista de cabeçalhos, o que não está de acordo com a especificação que determina que `r r ` deve ser usado. Isso pode potencialmente levar a erros de aplicativo ou ao envio de solicitações HTTP inválidas, possivelmente causando um vetor de negação de serviço se o firewall de aplicativos web de um serviço remoto bloquear o aplicativo devido ao recebimento de solicitações malformadas.