Mathias Polligkeit

**Nome do Software Vulnerável e Versões Afetadas** woylie doggo versões 0.1.0 até 0.14.7 **Descrição** Ocorre Cross-site Scripting (XSS) Refletido quando a função `Doggo.normalize value/2` em `lib/doggo.ex` retorna valores de campo de data envolvidos em um marcador `{:safe, ...}`. Este marcador instrui o Phoenix.HTML a emitir o conteúdo literalmente sem escape, permitindo que o valor atinja o atributo `value` do elemento `<input>` renderizado sem alterações. Isso afeta aplicações que renderizam `<.field type="date">` usando parâmetros controlados pelo usuário durante um ciclo de formulário Phoenix, quando uma validação falha e o valor enviado é renderizado novamente. O payload é limitado a dez bytes, o que é suficiente para encerrar o atributo e abrir um elemento ou anexar um manipulador de evento curto, mas insuficiente para scripts inline. **Recomendações** Atualize para a versão 0.14.8 ou posterior. Use `type="text"` em vez de `type="date"` para campos que recebem parâmetros enviados pelo usuário. Passe um valor explícito já validado como uma data ISO 8601 para o componente, em vez de permitir que ele leia diretamente do campo do formulário.

**Nome do Software Vulnerável e Versões Afetadas** oidcc plug versões 0.1.0-alpha.3 até 0.4.9 **Descrição** O tratamento inadequado de sensibilidade a maiúsculas e minúsculas no módulo `Oidcc.Plug.Authorize` torna a vinculação da sessão do agente do usuário inerte, removendo um controle de defesa em profundidade contra a reprodução de sessões roubadas. A função `Oidcc.Plug.Authorize.call/2` tenta ler o agente do usuário usando `get req header(conn, "User-Agent")`. Como o Plug converte os nomes dos cabeçalhos de entrada para letras minúsculas e o `get req header/2` realiza uma correspondência exata sem normalização, a pesquisa com letras mistas falha e grava `nil` na sessão. Subsequentemente, `Oidcc.Plug.AuthorizationCallback.call/2` trata um agente de usuário `nil` como algo que não requer comparação, permitindo que a verificação passe incondicionalmente. Isso permite que um callback de autorização seja concluído a partir de um agente de usuário diferente daquele que iniciou o fluxo, mesmo quando `check useragent` está definido como `true`. Este problema afeta principalmente a capacidade de dificultar o uso de cookies de sessão exfiltrados reproduzidos a partir de clientes diferentes, embora as verificações de CSRF/state, nonce e PKCE permaneçam funcionais. **Recomendações** Atualize o oidcc plug para a versão 0.5.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** oidcc plug versões 0.2.0-beta.1 até 0.4.9 **Description** Uma falha de Cross-Site Request Forgery no módulo `Oidcc.Plug.AuthorizationCallback` permite que um invasor force o navegador de uma vítima a completar um fluxo de autorização não iniciado por ela. A função `Oidcc.Plug.AuthorizationCallback.call/2()` não rejeita solicitações de callback que não possuam uma sessão `Oidcc.Plug.Authorize`, aplicando em vez disso padrões permissivos que ignoram verificações de segurança de nonce, state, PKCE, IP do peer e user agent. Além disso, a função `check state/2()` aceita solicitações sem estado quando um verificador está presente. Um invasor pode usar um código de autorização de sua própria conta para fazer com que a vítima entre na conta do invasor ou, em casos onde um único callback é usado tanto para login quanto para vincular contas, realizar o sequestro total da conta ao vincular a conta do invasor à da vítima. **Recommendations** Atualize o oidcc plug para a versão 0.5.0 ou posterior. Como medida paliativa temporária, insira um plug antes do `Oidcc.Plug.AuthorizationCallback` que rejeite solicitações caso a sessão `Oidcc.Plug.Authorize` ou o parâmetro de consulta `state` estejam ausentes.