Jvr2022

O servidor local expõe o endpoint de eventos enviados pelo servidor "/events" sem autenticação bearer e permite o acesso do navegador de origem cruzada. O sistema depende exclusivamente de um `client id` fornecido pelo chamador para selecionar objetos WebChannelEvent do barramento de eventos de todo o processo. Como o identificador do sistema é fixo, o fluxo de mensagens proativas torna-se previsível, permitindo que um cliente local não autenticado ou uma página web maliciosa se inscreva no fluxo de outro cliente ao adivinhar ou conhecer o identificador. Isso pode levar à exposição de respostas do assistente, conteúdo de mensagens transmitidas, nomes de ferramentas, argumentos de ferramentas e saídas brutas de ferramentas.

O endpoint WebSocket local '/ws/dictation' carece de autenticação de cliente e validação de origem do navegador. Isso permite que um cliente não autenticado, como uma página web maliciosa, envie áudio e acione o processamento de fala para texto com alto consumo de recursos. Em versões anteriores, o áudio é acumulado em um buffer ilimitado, o que pode levar ao esgotamento da memória do processo por meio de streaming contínuo. Esses fatores podem resultar em degradação de desempenho, exaustão de recursos ou falhas no aplicativo.

O comando `image to GIF` utiliza um auxiliar de requisição que valida os endereços IP públicos de um nome de host, mas posteriormente envia a requisição pelo nome do host, resultando em uma `segunda consulta DNS`. Isso permite que um invasor que controle um domínio ignore a proteção de endereços internos via `DNS rebinding` (uma técnica onde um nome de domínio resolve para endereços IP diferentes durante consultas DNS sucessivas), retornando um endereço público durante a validação e um endereço interno durante a conexão. O comando aceita endereços diretamente da entrada do usuário e está acessível a qualquer membro do servidor. As requisições são limitadas a `HTTPS na porta 443` e apenas retornam conteúdo se a resposta for uma `imagem genuína`, limitando o impacto ao sondagem interna cega e recuperação limitada de respostas de imagem de endpoints de loopback ou internos.

Por padrão, o plugin `@better-auth/scim` falha ao vincular provedores SCIM não organizacionais (pessoais) ao seu criador. Isso ocorre porque a opção `providerOwnership` e a coluna `scimProvider.userId` ficam desativadas por padrão, permitindo que a verificação de acesso seja aprovada quando nenhum ID de proprietário está presente. Consequentemente, qualquer usuário autenticado pode gerenciar provedores pessoais de outros usuários, incluindo a leitura de metadados, listagem de conexões e exclusão de conexões. O impacto mais crítico é a capacidade de regenerar tokens portadores SCIM através do endpoint `/scim/generate-token` utilizando a variável `providerId`. Esta ação invalida o token do usuário legítimo e concede ao invasor um token válido para se autenticar em rotas de API SCIM, como `/scim/v2/Users`, e gerenciar usuários provisionados via SCIM.

Ocorre uma falha de bypass de autorização porque o software decodifica a barra codificada %2F dentro de valores de parâmetros de caminho antes de corresponder aos caminhos do middleware, enquanto o roteador subjacente preserva essa codificação durante a busca da rota. Essa discrepância permite que uma requisição ignore o middleware utilizado para autenticação, autorização, limitação de taxa ou auditoria em caminhos parametrizados, permitindo que um invasor alcance um manipulador protegido usando uma URL manipulada com uma barra codificada na posição do parâmetro. Este problema é agnóstico ao método HTTP e não requer autenticação ou pré-condições especiais.

Existe um problema no processo de normalização e decodificação de URL do mecanismo independente (standalone engine), onde sequências malformadas de codificação percentual em caminhos de requisição recebidos não são devidamente protegidas. Especificamente, entradas como sequências multibyte truncadas ou escapes percentuais incompletos fazem com que o decodificador subjacente lance uma exceção síncrona. Essa exceção escapa da etapa de normalização e encerra o processo do Node.js, resultando em uma negação de serviço para todos os clientes conectados. Isso afeta aplicações que chamam a função `middie.run()` diretamente via API do mecanismo independente. Aplicações que utilizam o caminho do plugin Fastify não são afetadas, pois o manipulador de erros do framework captura a exceção.

Uma falha de escopo de middleware ocorre quando os prefixos de plugin não são aplicados aos caminhos de montagem de middleware quando o caminho de montagem é fornecido como um array ou uma expressão regular. Isso acontece devido ao tratamento inadequado de entrada durante a normalização de prefixos e caminhos, fazendo com que o middleware seja registrado sem o prefixo dentro de escopos de plugin prefixados. Um invasor pode ignorar controles de segurança, como autenticação, autorização, limitação de taxa ou auditoria, enviando solicitações para rotas sob um plugin prefixado onde o middleware foi montado usando caminhos que não sejam strings. O Fastify continua a corresponder à rota, mas o middleware associado é ignorado.

A falta de imposição de limites superiores rígidos para o total de dados descompactados, contagem de entradas ou taxa de descompressão em caminhos de extração e análise, como `src/extract.ts`, permite que uma bomba gzip manipulada esgote a CPU e o espaço em disco. Uma bomba gzip é um arquivo altamente compactado que se expande para um tamanho enorme quando descompactado, levando a uma negação de serviço.

A função `tar.replace` aceita um cabeçalho tar com checksum válido contendo um tamanho de entrada codificado em base-256 negativo. Isso faz com que o scanner de arquivo entre em um loop onde analisa repetidamente o mesmo cabeçalho sem progredir.

Existe um problema onde o software falha ao validar o parâmetro de estado OAuth em relação ao nonce armazenado ao usar armazenamento de estado baseado em cookies sem PKCE (Proof Key for Code Exchange). Na função `parseGenericState`, o ramo de cookies descriptografava o cookie `oauth state` e validava a expiração, mas não comparava o parâmetro de consulta `state` do OAuth recebido com o nonce emitido no login. Isso permite que atacantes forjem o parâmetro `state` e forneçam um código de autorização controlado pelo atacante para o endpoint `/api/auth/oauth2/callback/<providerId>`. Isso pode levar ao login forçado (CSRF no callback OAuth), onde o navegador da vítima é colocado em uma sessão vinculada à identidade externa do atacante, ou à vinculação persistente de conta, onde a conta externa do atacante é vinculada ao perfil autenticado da vítima.

O filtro de autenticação gerado corresponde aos modelos de caminho OpenAPI de forma excessivamente ampla ao decidir se deve anexar credenciais. A camada de autenticação de tempo de execução compara o caminho e o método da requisição de saída com as operações OpenAPI protegidas, mas trata os marcadores `{param}` como `.*`, o que permite incorretamente que um único parâmetro de caminho consuma uma barra (`/`). Consequentemente, um esquema de segurança configurado para uma operação pode ser aplicado a uma operação diferente do mesmo método se o caminho se assemelhar parcialmente ao modelo protegido. Isso pode fazer com que tokens bearer, chaves de API ou credenciais básicas sejam enviados para endpoints não pretendidos, potencialmente expondo informações sensíveis a rotas de menor confiança no mesmo serviço.

Quando o `safeMode` está ativado, postagens de fórum não aprovadas são ocultadas da lista pública. No entanto, o procedimento de leitura direta de postagens ainda retorna a postagem completa para qualquer usuário que possua o UUID da postagem.

O software permite que o conteúdo de comentários controlado por um invasor seja serializado em XML sem validar ou neutralizar sequências de quebra de comentário. Isso ocorre durante o fluxo de construção e serialização do DOM para nós de comentário quando a função `createComment()` é chamada; a string fornecida é armazenada como está e, posteriormente, concatenada com delimitadores de comentário XML durante a serialização. Como os comentários XML são sensíveis à sintaxe, um invasor pode fornecer uma entrada contendo uma sequência que fecha o comentário, permitindo encerrar o comentário prematuramente e injetar nós XML arbitrários na saída serializada. Isso pode permitir que um invasor altere o significado e a estrutura de documentos XML gerados, afetando fluxos de trabalho que armazenam, encaminham, assinam ou analisam o XML resultante, como documentos de configuração ou políticas.

Sete travessias recursivas em `lib/dom.js` operam sem limite de profundidade. Ao processar uma árvore DOM suficientemente aninhada, a pilha de chamadas do JavaScript é esgotada, resultando em um `RangeError: Maximum call stack size exceeded` e causando a queda da aplicação. Isso pode levar a uma negação de serviço se um serviço aceitar XML controlado por um invasor e executar qualquer uma das operações afetadas. As funções e pontos de entrada afetados incluem - `Node.prototype.normalize()` - `XMLSerializer.serializeToString()` - `Element.getElementsByTagName()`, `getElementsByTagNameNS()`, `getElementsByClassName()` e `getElementById()` (através da função ` visitNode`) - `Node.cloneNode(true)` - `Document.importNode(node, true)` - `node.textContent` (getter) - `Node.isEqualNode(other)`

A função `downloadPackageManager()` aceita uma string `version` não confiável e a utiliza diretamente em caminhos do sistema de arquivos. Isso permite que um chamador utilize caminhos absolutos ou segmentos `../` para escapar da raiz do cache `VP HOME/package manager/<pm>/`, possibilitando a exclusão, substituição e preenchimento de diretórios fora do local de cache pretendido.

Name of the Vulnerable Software and Affected Versions PolarLearn versões anteriores a 0-PRERELEASE-15 Description PolarLearn é um programa de aprendizado afetado por um problema de escalada de privilégios. Uma verificação de administrador invertida no módulo `account-management` permitiu que usuários não-administradores autenticados executassem as ações `setCustomPassword(userId, password)` e `deleteUser(userId)`, enquanto administradores legítimos eram bloqueados. O problema decorre de uma declaração condicional incorreta que inverte a lógica de controle de acesso pretendida. Recommendations Atualize para a versão 0-PRERELEASE-15 ou posterior.

Name of the Vulnerable Software and Affected Versions PolarLearn versões 0-PRERELEASE-15 e anteriores Description O software cria uma sessão válida para contas banidas antes de verificar a senha fornecida através do endpoint da API `/api/v1/auth/sign-in`. Esta sessão é então aceita em rotas de API autenticadas, permitindo o acesso aos dados da conta e ações autenticadas como o usuário banido. O parâmetro vulnerável é a `password`. Recommendations Atualize para uma versão posterior a 0-PRERELEASE-15.

Uma falha na lógica de extração permite que um invasor crie um hardlink que aponte para fora do diretório de extração pretendido. Ao usar um destino de link relativo à unidade, como `C:../target.txt`, o software pode ser enganado para ignorar as restrições de caminho. Isso ocorre porque a lógica verifica segmentos `..` antes de remover as raízes absolutas, permitindo que o `linkpath` escape do diretório de trabalho atual (`cwd`) durante a execução da função `tar.x()`. Isso resulta em um primitivo de sobrescrita arbitrária de arquivos com as permissões do processo que realiza a extração, o que é particularmente crítico para serviços que descompactam arquivos não confiáveis ou pipelines de compilação que consomem arquivos de terceiros.

O PolarLearn é um programa de aprendizado gratuito e de código aberto. O WebSocket do chat em grupo em `wss://polarlearn.nl/api/v1/ws` pode ser usado sem autenticação. Um cliente não autenticado pode se inscrever em qualquer chat de grupo fornecendo um UUID de grupo e enviar mensagens para qualquer grupo. O servidor aceita e armazena essas mensagens no `chatContent` do grupo.

Nome do Software Vulnerável e Versões Afetadas @isaacs/brace-expansion versões anteriores a 5.0.1 Descrição @isaacs/brace-expansion, um fork híbrido CJS/ESM em TypeScript do brace-expansion, está sujeito a um problema de negação de serviço (DoS). Isso ocorre devido à expansão ilimitada de intervalos de chaves ao processar padrões com intervalos numéricos repetidos entre chaves. A biblioteca tenta gerar todas as combinações possíveis de forma síncrona, levando ao consumo excessivo de CPU e memória, podendo causar a falha do processo do Node.js. Recomendações Atualize o @isaacs/brace-expansion para a versão 5.0.1 ou posterior.