Ljharb

Ao usar `qs.stringify` com a opção `allowEmptyArrays` definida como `true`, o software não codifica as chaves de arrays vazios. Isso ocorre porque o ramo `allowEmptyArrays` em `lib/stringify.js` retorna a chave prematuramente, ignorando as funções `encoder` e `formatter`. Se uma chave fornecida pelo usuário contiver caracteres especiais como `&` (ou um delimitador personalizado), `=` ou `#`, esses caracteres são interpretados como sintaxe de query string em vez de dados. Isso permite que um invasor injete parâmetros adicionais na query string serializada ou a encerre prematuramente usando o caractere `#`, que transforma o restante da URL em um fragmento. Este problema afeta especificamente chaves cujos valores são arrays vazios e não ocorre quando `encode` é definido como `false` ou `encodeValuesOnly` como `true`.

Ao utilizar `qs.stringify` com o `arrayFormat` definido como `comma`, a aplicação pode lançar um `TypeError: Cannot convert object to primitive value`. Isso ocorre quando um elemento de array não pode ser convertido em string, como um objeto com protótipo nulo ou um objeto que contenha uma propriedade `toString` não chamável. O problema deriva do uso de `Array.prototype.join` em `lib/stringify.js` e da função `String()` em `utils.encode` dentro de `lib/utils.js` quando `encodeValuesOnly` está habilitado, nenhum dos quais trata falhas na coerção de string. Um invasor não autenticado pode disparar isso fornecendo entradas especialmente manipuladas que sejam posteriormente reserializadas. Dependendo do ambiente, isso pode resultar em um Erro Interno do Servidor 500 ou, se a chamada ocorrer fora de um limite de erro (como em um manipulador `async` do Express 4), pode levar à interrupção do processo.

A função `qs.stringify` pode lançar um `TypeError` ao serializar um objeto que contenha uma propriedade `constructor` com um membro `isBuffer` verdadeiro, porém não chamável. Isso ocorre porque a função `utils.isBuffer()` realiza duck-typing ao invocar `obj.constructor.isBuffer(obj)` sem verificar previamente se `isBuffer` é realmente uma função. Um invasor pode disparar isso fornecendo entradas especialmente manipuladas via `qs.parse` (usando `plainObjects: true` ou `allowPrototypes: true`) ou através de `JSON.parse`. Em ambientes como Express 4 ou body-parser com `extended: true`, tais entradas podem ser passadas diretamente via `req.query` ou `req.body`. Isso pode levar a uma negação de serviço onde a requisição afetada retorna um erro 500 ou, em casos onde a chamada ocorre fora de um limite de erro (como em um manipulador `async`), pode causar a interrupção de todo o processo.

A função `parse()` finaliza os tokens analisados usando `Array.prototype.concat` como um acumulador de redução, o que faz com que todo o array crescente seja realocado e copiado a cada iteração. Isso resulta em uma complexidade de tempo quadrática em relação ao número de tokens de entrada. Um invasor que forneça uma string controlada para qualquer caminho de código que chame `parse()` pode bloquear o loop de eventos de thread única do Node.js por um período prolongado, resultando em uma negação de serviço. Este problema afeta a disponibilidade e não permite a execução de código ou a divulgação de dados.

O argumento `field` em `FormData#append` e a opção `filename` são concatenados literalmente no cabeçalho `Content-Disposition` sem a neutralização de caracteres de retorno de carro (CR), alimentação de linha (LF) ou aspas duplas ("). Isso permite que um invasor realize a injeção de CRLF (Carriage Return Line Feed), que é o processo de inserir caracteres especiais para manipular a estrutura de um cabeçalho HTTP. Se uma aplicação utilizar entradas não confiáveis como nome de campo ou nome de arquivo, um invasor poderá encerrar a linha do cabeçalho para injetar cabeçalhos adicionais ou contrabandear partes multipart inteiras na requisição encaminhada para um backend. Isso pode permitir que o invasor adicione ou substitua campos de formulário, como definir `is admin=true`, conforme visualizado pelo analisador downstream.

Quando a função `qs.parse` é utilizada com as opções `comma` e `throwOnLimitExceeded` definidas como `true`, um valor separado por vírgulas atribuído a uma chave de empilhamento de colchetes (ex: `a[]=1,2,3,4`) é dividido em um array sem ser validado em relação ao `arrayLimit`. Em contraste, o mesmo valor atribuído a chaves planas, indexadas, aninhadas ou pontuadas dispara corretamente um `RangeError`. Isso ocorre porque a verificação do `arrayLimit` em `lib/parse.js` era aplicada após o valor ser envolvido como um elemento aninhado, e uma tentativa subsequente de corrigir isso usando uma flag `isFlatArrayValue` não considerou a forma de chave `[]=`. Um invasor não autenticado pode explorar isso fornecendo um único parâmetro `a[]=` para ignorar os limites configurados e forçar o parser a alocar um array proporcional ao tamanho da requisição, podendo levar ao consumo excessivo de memória.