Maxisbey

O `QuerystringParser` tratava o ponto e vírgula (`;`) como um separador de campo em corpos `application/x-www-form-urlencoded`, além do e comercial (`&`). Isso diverge do padrão WHATWG URL, de navegadores modernos e do `urllib.parse` do Python, que reconhecem apenas o `&` como separador. Essa discrepância cria um diferencial de análise, permitindo que um invasor envie campos de formulário extras ou substitutos através de um componente de inspeção de corpo upstream, como um Web Application Firewall (WAF) ou gateway, que segue a regra WHATWG. Isso pode levar a conflitos de interpretação ou poluição de parâmetros HTTP, onde a aplicação de backend recebe parâmetros que o validador intermediário não observou.

Um problema de complexidade quadrática ocorre ao analisar corpos `application/x-www-form-urlencoded`. O `QuerystringParser` realiza uma busca de duas etapas para separadores de campo, verificando todo o buffer restante por `&` antes de recorrer ao `;`. Se um corpo utiliza `;` como separador e não contém `&`, cada iteração de campo dispara uma varredura completa e malsucedida do buffer restante, resultando em O(B^2) comparações de bytes por chunk. Um invasor pode enviar um corpo manipulado com separadores repetidos para causar consumo excessivo de CPU, o que pode esgotar os processos de trabalho e levar a uma negação de serviço. Este analisador é acessível através da classe `QuerystringParser` e das APIs `FormParser`, `create form parser` e `parse form`, sendo utilizado pelo Starlette e FastAPI para chamadas de `request.form()`.