L2Yyd5

Existe um problema onde o mapeamento Guice do `MediaFilter` em `WebModule.java` e o `ResourceServlet` do Jetty em `WebServer.java` interpretam parâmetros de caminho de forma diferente no endpoint '/api/media/*'. Um invasor não autenticado pode ignorar as verificações de autorização de sessão e dispositivo inserindo um ponto e vírgula no limite do Servlet, caso conheça ou adivinhe o ID único do dispositivo e o nome do arquivo de mídia. Isso ocorre porque o Jetty despacha o caminho não canônico para o `ResourceServlet`, permitindo a divulgação apenas de leitura de arquivos de mídia protegidos, como fotografias, áudio ou vídeo. Proxies reversos que rejeitam ou reescrevem parâmetros de caminho com ponto e vírgula podem bloquear essas solicitações.

Nome do Software Vulnerável e Versões Afetadas vLLM versões 0.16.0 até 0.18.99 Descrição vLLM, um mecanismo de inferência e serviço para grandes modelos de linguagem, contém uma falha de falsificação de solicitação do lado do servidor (SSRF) na função `download bytes from url`. Isso permite que um invasor que possa controlar o JSON de entrada em lote faça com que o executor em lote vLLM emita solicitações HTTP/HTTPS arbitrárias do servidor, sem nenhuma validação de URL ou restrições de domínio. A vulnerabilidade reside no arquivo `run batch.py`, especificamente dentro da função `download bytes from url`, que chama diretamente `session.get(url)` em uma URL fornecida no JSON de entrada em lote. O parâmetro `file url` dentro de `BatchTranscriptionRequest` e `BatchTranslationRequest` é vulnerável, pois não possui restrições de domínio, IP ou porta. Isso pode ser explorado para atingir serviços internos acessíveis do host vLLM. Recomendações Atualize para a versão 0.19.0 ou posterior do vLLM.

DataEase is an open source data visualization analysis tool. Versions 2.10.19 and below exhibit inconsistent locale handling between the JDBC URL validation logic and the H2 JDBC engine's internal parsing. DataEase uses `String.toUpperCase()` without specifying an explicit locale, relying on the JVM's default runtime locale for security checks, while H2 JDBC normalizes URLs using `Locale.ENGLISH`. In Turkish locale environments (tr TR), Java converts the lowercase letter 'i' to 'İ' (dotted capital I) instead of 'I', allowing a malicious parameter like `iNIT` to bypass DataEase's blacklist while H2 correctly interprets it as `INIT`. This discrepancy enables attackers to smuggle dangerous JDBC parameters past DataEase's security validation. The issue has been confirmed as exploitable in real-world DataEase deployments running under affected regional settings.