Kc1Zs4

A função `splitPos()` do transporte FastCGI em `modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go` utiliza incorretamente o recurso `search.IgnoreCase` da biblioteca `golang.org/x/text/search` quando o caminho de uma requisição contém bytes não-ASCII. Isso resulta em duas falhas: um problema de fluxo de controle onde uma variável `match` obsoleta permite que arquivos que não são scripts sejam tratados como tal, e um problema de equivalência Unicode onde caracteres semelhantes não-ASCII são convertidos em caracteres ASCII (por exemplo, tratando `.𝗽𝗵𝗽` como `.php`). Em implementações onde um invasor pode fazer upload ou colocar conteúdo em arquivos servidos via FastCGI, essas falhas podem ser exploradas através da criação de uma URL específica para alcançar a execução remota de código.

Um problema de Cross-Site Scripting (XSS) armazenado permite que contas de nível de publicador executem JavaScript arbitrário. O problema é causado por um bypass de blacklist na função `detectXss()`, que não consegue identificar corretamente atributos de eventos HTML (como eventos `on*`) quando estes são construídos sem aspas. Isso permite que um invasor ignore o filtro e execute scripts maliciosos no navegador de qualquer usuário, incluindo administradores, que visualize o conteúdo comprometido, podendo levar ao sequestro de sessão ou ações não autorizadas.

Existe uma falha de injeção de CRLF no MimeKit e no MailKit ao manipular endereços de envelope SMTP. Especificamente, quando a parte local de um endereço é uma string entre aspas, o software falha em impedir adequadamente a inclusão de caracteres de retorno de carro e avanço de linha (`r `). Esta não conformidade com a RFC 5321 permite que um atacante injete comandos SMTP, como `RCPT TO`, `DATA` e `RSET`, ou potencialmente injete cabeçalhos de e-mail, dependendo de como a aplicação utiliza o MailKit/MimeKit. O problema surge quando um atacante pode controlar um valor `MailboxAddress` que é subsequentemente serializado em uma sessão SMTP. A vulnerabilidade ocorre porque a RFC 5321 proíbe o uso de caracteres CR e LF dentro de strings entre aspas. Os componentes afetados são MimeKit 4.15.0 e MailKit 4.15.0, e qualquer aplicação que aceite entrada não confiável para endereços de remetente/destinatário, construa objetos `MailboxAddress` a partir dessa entrada e envie mensagens via SMTP pode ser impactada. A exploração pode levar ao redirecionamento de e-mails, exfiltração de dados, corrupção do estado da transação SMTP e, potencialmente, injeção de cabeçalho ou evasão de logs.

As funções `ToASCII()` e `ToUnicode()` aceitam incorretamente rótulos codificados em Punycode que são decodificados para um rótulo apenas ASCII. Por exemplo, `ToUnicode("xn--example-.com")` retorna "example.com" em vez de um erro. Esse comportamento pode levar à escalada de privilégios em programas que utilizam o pacote idna; um programa que realiza verificações de privilégios em um nome de host ASCII pode rejeitar "example.com", mas permitir "xn--example-.com", concedendo inadvertidamente acesso a "example.com" após converter o nome do host para Unicode.