Iliaal

**Nome do Software Vulnerável e Versões Afetadas** Grav versão 2.0.1 **Description** Existe uma falha de bypass de limite de tamanho de bomba de descompressão no ZipArchiver e GPMInstaller. O sistema calcula o tamanho descompactado somando os valores declarados no cabeçalho do diretório central ZIP de cada entrada através de `ZipArchive::statIndex()['size']` e compara isso com `system.gpm.archive.max uncompressed size` antes da extração. Como o tamanho declarado pode ser forjado e não é verificado em relação ao fluxo inflado real, um arquivo especialmente criado com tamanhos por entrada declarados como pequenos pode burlar o limite. Quando `extractTo()` é chamado, o conteúdo real, muito maior, é gravado, o que pode levar ao esgotamento do disco ou de inodes. Isso requer que o arquivo seja fornecido por uma fonte de pacotes ou upload de administrador. **Recommendations** Atualize o Grav para a versão 2.0.2.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões anteriores a 2.0.2 **Description** Uma falha de bypass no sandbox do Twig permite que um autor de página, especificamente qualquer usuário com permissões `admin.pages` ou aqueles capazes de escrever em `user/pages`, exfiltre segredos de configuração. Embora o sandbox tente redigir a variável `config` e remover `Config::get` e `toArray` da lista de permissões de métodos, o objeto Config real ainda está acessível através do método `grav.offsetGet('config')`, que está na lista de permissões. Ao utilizar filtros de despejo de objetos permitidos, como `json encode`, `print r` ou `yaml encode`, um invasor pode serializar o objeto no nível do PHP, ignorando o controle de métodos do sandbox. Isso expõe a árvore de configuração completa, incluindo dados sensíveis como credenciais SMTP, chaves de API e credenciais de banco de dados de plugins. **Recommendations** Atualize o Grav para a versão 2.0.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Composer versões anteriores a 2.2.29 Composer versões anteriores a 2.10.2 **Description** O Composer, um gerenciador de dependências para a linguagem PHP, não valida corretamente os nomes de pacotes provenientes de repositórios não confiáveis, exceto Packagist.org ou Private Packagist. Isso permite que um pacote maliciosamente criado faça com que a aplicação escreva arquivos controlados pelo invasor fora do diretório vendor e fora do projeto durante as operações de instalação ou atualização. **Recommendations** Atualize para a versão 2.2.29 ou posterior. Atualize para a versão 2.10.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Composer versões anteriores a 2.2.29 Composer versões anteriores a 2.10.2 **Descrição** Quando executado com a verbosidade de depuração -vvv, o software pode imprimir credenciais incorporadas no campo de nome de usuário de uma URL de repositório ou pacote (por exemplo, um Token de Acesso Pessoal do GitHub em https://TOKEN@host/) na saída de depuração. Isso ocorre porque as funções `AuthHelper`, `Url::sanitize` e `ProcessExecutor` não sanitizam credenciais de URL compostas apenas por nome de usuário. **Recomendações** Atualize para a versão 2.2.29 ou posterior. Atualize para a versão 2.10.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Composer versões anteriores a 2.2.29 Composer versões anteriores a 2.10.2 **Description** Uma falha no fluxo de instalação de binários permite que uma entrada de binário de pacote contendo segmentos de caminho `..` seja resolvida fora do diretório de instalação do pacote. Isso pode levar o sistema a alterar as permissões de um arquivo do host existente para os modos de leitura e execução global durante a execução das operações composer install, update ou require. **Recommendations** Atualize para a versão 2.2.29 ou posterior. Atualize para a versão 2.10.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** guzzlehttp/psr7 versões anteriores a 2.12.1 **Descrição** o guzzlehttp/psr7 não rejeita caracteres de Retorno de Carro (CR) e Alimentação de Linha (LF) em campos específicos da linha de início HTTP, incluindo o método de requisição, a versão do protocolo e a frase de motivo da resposta. Isso ocorre quando dados controlados por um invasor são inseridos nesses campos e posteriormente serializados como HTTP/1.x bruto usando funções como `Message::toString()` ou serializadores equivalentes. O problema também pode ser acionado via `Message::parseRequest()` ou `Message::parseResponse()` quando mensagens brutas malformadas são analisadas em objetos PSR-7 e depois reserializadas. Para que a exploração ocorra, a mensagem malformada deve ser serializada e processada por um software que não rejeite independentemente linhas de início malformadas. Isso pode levar a injeção de cabeçalho, divisão de resposta (response splitting), contrabando de requisição (request smuggling) ou envenenamento de cache. Aplicações que utilizam APIs padrão do cliente HTTP Guzzle não devem ser afetadas; o risco é maior para aquelas que serializam mensagens manualmente, encaminham HTTP bruto ou implementam transportes personalizados, proxying e webhooks. **Recomendações** Atualize para a versão 2.12.1 ou posterior. Como alternativa temporária, rejeite caracteres CR/LF em valores não confiáveis de método, versão do protocolo e frase de motivo antes de construir ou modificar mensagens PSR-7. Valide a linha de início bruta antes de chamar `Message::parseRequest()` ou `Message::parseResponse()` e evite reanalisar mensagens brutas não confiáveis. Valide `REQUEST METHOD` e `SERVER PROTOCOL` antes de chamar `ServerRequest::fromGlobals()` se a aplicação operar com valores `$ SERVER` sintéticos controlados por invasores.

**Nome do Software Vulnerável e Versões Afetadas** Guzzle versões anteriores a 7.12.1 **Descrição** O CookieJar aceita incorretamente cookies com um atributo `Domain` composto apenas por pontos (como `Domain=.`, `Domain=..`, `Domain=...`) e variantes com preenchimento de espaços em branco. A função `SetCookie::matchesDomain()` remove pontos iniciais, normalizando valores compostos apenas por pontos para uma string vazia. Como a função `SetCookie::validate()` rejeitava apenas domínios estritamente vazios, esses cookies eram armazenados e o domínio normalizado vazio era tratado como correspondente a qualquer host de requisição. Uma origem controlada por um invasor, solicitada por uma aplicação que utiliza um cookie jar compartilhado, pode definir um cookie que é posteriormente enviado para hosts não relacionados. Isso pode levar à injeção de cookies ou fixação de sessão em serviços downstream. Este problema afeta aplicações que utilizam o suporte de cookies do Guzzle, como `new Client(['cookies' => true])` ou um `CookieJar` compartilhado explícito, quando o mesmo jar é reutilizado entre origens confiáveis e controladas por invasores. **Recomendações** Atualize para a versão 7.12.1 ou posterior. Como medida paliativa temporária, não reutilize a mesma instância de `CookieJar` entre origens não confiáveis e confiáveis. Utilize jars de cookies separados por origem ou limite de confiança. Desative a manipulação de cookies para requisições a hosts não confiáveis. Evite usar `new Client(['cookies' => true])` para clientes que possam contatar hosts não relacionados com diferentes níveis de confiança.