Hamdaanaliquatil

A configuração de requisições HTTP/2 não aplica consistentemente as definições de proxy e a política de busca de DNS fornecida pelo chamador. Quando uma requisição HTTPS é configurada com `httpVersion: 2` e utiliza `config.proxy` ou definições de proxy derivadas do ambiente, ou depende de uma política de DNS `config.lookup`, o caminho HTTP/2 pode se conectar sem aplicar essas configurações antes de chamar `http2.connect()`. Isso permite que as requisições ignorem a rota de proxy pretendida ou a política de resolução de DNS especificada.

As chaves de cache de URL internas são construídas concatenando os caminhos de destino e origem sem um delimitador. Isso permite que diferentes pares de destino e origem gerem chaves idênticas, apesar de resolverem para URLs de upstream diferentes. Consequentemente, quando a função `getUpstream()` seleciona um upstream a partir dos dados da requisição, uma URL em cache de um upstream pode ser reutilizada para uma requisição destinada a outro, resultando em acesso e modificação de dados entre upstreams. Atividades elevadas visando este problema foram observadas em cenários reais.

Um problema de Negação de Serviço ocorre ao utilizar diskStorage. Uploads multipart abortados ou malformados deixam arquivos parciais órfãos no disco porque a chamada `Readable.pipe()` não propaga o sinal de destruição do fluxo para o `fs.WriteStream` subjacente. Isso permite que um invasor esgote o espaço em disco disparando inúmeros uploads abortados.