O endpoint não autenticado POST '/ nuxt content/:collection/query' aceita um campo `sql` controlado por um invasor em 'src/runtime/api/query.post.ts' que permite expressões SQLite onerosas. Embora algumas versões utilizem a função `assertSafeQuery()` em 'src/runtime/internal/security.ts' para rejeitar certas palavras-chave SQL em cláusulas WHERE, ela ainda permite chamadas de função como `randomblob()`, `zeroblob()`, `hex()` e `length()`. Essas consultas atingem o sumidouro síncrono better-sqlite3 em 'src/runtime/internal/database.server.ts', permitindo que uma única requisição remota consuma CPU e memória substanciais, bloqueando o loop de eventos do Node.js e todo o processamento de requisições simultâneas. Implantações totalmente estáticas e pré-renderizadas que não expõem o endpoint do servidor não são afetadas.