Kejcao

Na implementação `node:child process` no Windows, a função auxiliar `escapeShellArg()` não consegue colocar aspas corretamente em argumentos que contenham metacaracteres do `cmd.exe` (como `&`, `|`, `<`, `>`, `^`, `!`, `(`, e `)`) e não neutraliza o caractere `%`, que o `cmd.exe` expande mesmo dentro de strings com aspas duplas. Isso ocorre quando os chamadores utilizam as funções `spawn`, `spawnSync` ou `exec` com a opção `shell: true`. Um invasor que controle qualquer parte de um argumento passado para essas chamadas pode injetar e executar comandos arbitrários no contexto do processo Deno.

Ocorre a escape insuficiente de caracteres significativos de HTML, especificamente os colchetes angulares, em nós de texto durante a conversão de um documento analisado para Markdown usando a função `to markdown()`. Embora alguns metacaracteres de Markdown sejam escapados, caracteres como < e > são preservados. Isso permite que entradas não confiáveis — como texto decodificado de entidades ou conteúdo de elementos analisados como RCDATA/RAWTEXT, como <title>, <textarea>, <noscript> e <plaintext> — sejam emitidos como HTML bruto na saída Markdown. Esse comportamento pode levar a um bypass de sanitização e a um potencial cross-site scripting quando a saída é renderizada.

pypdf is a free and open-source pure-python PDF library. A crafted PDF file can cause an infinite loop when read in non-strict mode. This issue requires reading a file in non-strict mode. Applying the changes from the patch manually is a potential workaround if upgrading is not immediately possible.