Kejcao

**Nome do Software Vulnerável e Versões Afetadas** Deno versões anteriores a 2.7.10 **Description** Na implementação `node:child process` no Windows, a função auxiliar `escapeShellArg()` não consegue colocar aspas corretamente em argumentos que contenham metacaracteres do `cmd.exe` (como `&`, `|`, `<`, `>`, `^`, `!`, `(`, e `)`) e não neutraliza o caractere `%`, que o `cmd.exe` expande mesmo dentro de strings com aspas duplas. Isso ocorre quando os chamadores utilizam as funções `spawn`, `spawnSync` ou `exec` com a opção `shell: true`. Um invasor que controle qualquer parte de um argumento passado para essas chamadas pode injetar e executar comandos arbitrários no contexto do processo Deno. **Recommendations** Atualize o Deno para a versão 2.7.10. Como alternativa temporária, evite usar `shell: true` em chamadas `node:child process` no Windows. Como alternativa temporária, construa o vetor de argumentos diretamente e invoque o programa sem um shell. Como alternativa temporária, filtre ou rejeite quaisquer valores de argumentos fornecidos externamente que contenham metacaracteres do `cmd.exe` (`&`, `|`, `<`, `>`, `^`, `!`, `(`, `)`, `%`) antes de passá-los para `spawn`, `spawnSync` ou `exec`.

**Nome do Software Vulnerável e Versões Afetadas** justhtml versões anteriores a 1.12.0 **Description** Ocorre a escape insuficiente de caracteres significativos de HTML, especificamente os colchetes angulares, em nós de texto durante a conversão de um documento analisado para Markdown usando a função `to markdown()`. Embora alguns metacaracteres de Markdown sejam escapados, caracteres como < e > são preservados. Isso permite que entradas não confiáveis — como texto decodificado de entidades ou conteúdo de elementos analisados como RCDATA/RAWTEXT, como <title>, <textarea>, <noscript> e <plaintext> — sejam emitidos como HTML bruto na saída Markdown. Esse comportamento pode levar a um bypass de sanitização e a um potencial cross-site scripting quando a saída é renderizada. **Recommendations** Atualize para a versão 1.12.0.

**Name of the Vulnerable Software and Affected Versions** pypdf versions prior to 6.9.2 **Description** pypdf is a free and open-source pure-python PDF library. A crafted PDF file can cause an infinite loop when read in non-strict mode. This issue requires reading a file in non-strict mode. Applying the changes from the patch manually is a potential workaround if upgrading is not immediately possible. **Recommendations** Upgrade to version 6.9.2 or later. If an immediate upgrade is not possible, apply the changes from PR #3693 manually.