Jonchurch

A função `escapeLogField()` não escapa o caractere de aspas duplas utilizado para delimitar campos citados no formato de log combinado do Apache. Um invasor remoto não autenticado pode explorar isso injetando aspas duplas em valores gravados em campos citados, como os cabeçalhos `User-Agent` ou `Referer`. Isso permite que o invasor feche um campo prematuramente, fazendo com que consumidores de log que fazem a análise por posição de campo interpretem o texto fornecido pelo invasor como campos subsequentes. Em formatos integrados, isso faz com que os valores registrados difiram dos valores enviados e, em formatos personalizados, pode ser usado para forjar valores controlados pelo servidor, como o status da resposta. A separação de registros permanece intacta, pois não há injeção de novas linhas.

Existe um problema no auxiliar interno utilizado para escapar valores de tokens de log. O software não neutraliza os caracteres de separação de linha Unicode U+0085 (Next Line), U+2028 (Line Separator) e U+2029 (Paragraph Separator). Um cliente remoto não autenticado pode injetar esses caracteres em um token de log controlado pelo invasor, como um nome de usuário de autenticação Basic processado através do token `remote-user`. Isso permite a falsificação de logs (log forging), onde sistemas de processamento de logs subsequentes compatíveis com Unicode dividem um único log de requisição em múltiplos registros lógicos.

Lodash versions 4.17.23 and earlier are susceptible to prototype pollution through the ` .unset` and ` .omit` functions. The initial fix did not fully address the issue, as an attacker can bypass the check by using array-wrapped path segments. This allows for the deletion of properties from built-in prototypes like Object.prototype, Number.prototype, and String.prototype. The issue allows deletion of prototype properties but does not permit overwriting their original behavior.

The software contains a flaw related to template compilation. Specifically, insufficient validation of key names within the `options.imports` object used by the ` .template` function can allow an attacker to inject default-parameter expressions, leading to arbitrary code execution. The issue arises because validation applied to the `option` variable is not extended to the `options.imports` key names. Furthermore, the use of `assignInWith` can introduce vulnerabilities if `Object.prototype` has been compromised, potentially copying polluted keys into the imports object and ultimately executing malicious code.