Michael Mullins

A validação inadequada de atributos de URL de recurso permite que um invasor remoto não autenticado leia arquivos do aplicativo web, incluindo arquivos sob WEB-INF que o contêiner de servlet normalmente não serviria. Os atributos de localidade, estilo e variação decodificados de uma URL de recurso de pacote são inseridos no caminho de busca do recurso sem a verificação de separadores de caminho. Como o `IPackageResourceGuard` e o `WebApplicationPath` não inspecionam a parte do caminho controlada pelo invasor, uma requisição manipulada pode escapar do diretório de pacote pretendido em contêineres de servlet que normalizam `..` em `ServletContext.getResource()`. Os arquivos legíveis são limitados às extensões permitidas pelo `IPackageResourceGuard` configurado. Aplicativos que utilizam o `PackageResourceGuard` baseado em lista de bloqueio ou padrões personalizados podem expor arquivos de configuração, como o `web.xml`. Além disso, o processo de busca pode atuar como um oráculo de existência para caminhos arbitrários.

Existe um problema de consumo descontrolado de recursos onde uma aplicação que expõe um endpoint para a coleta de relatórios de violação de Content Security Policy (CSP) lê o relatório enviado na memória sem limites. Isso permite que uma única requisição esgote o heap, resultando em negação de serviço para outros usuários. Esses endpoints são geralmente acessíveis sem autenticação. A distribuição principal não mapeia tal endpoint por padrão, portanto, aplicações que não coletam relatórios de violação não são afetadas.

Um problema de consumo descontrolado de recursos existe no plugin JSON. Quando uma aplicação é configurada para preencher ações a partir de um corpo de requisição JSON, o plugin lê esse corpo na memória sem limitar a quantidade aceita. Isso pode permitir que uma única requisição esgote o heap, resultando em negação de serviço para outros usuários. O limite configurável de comprimento de entrada JSON não impede esse comportamento. Este problema afeta apenas aplicações que utilizam o plugin JSON opcional com o processamento de corpo de requisição JSON habilitado.

O software não valida adequadamente os endereços de URL antes de retornar arquivos locais, permitindo o acesso potencial a arquivos na máquina do desenvolvedor. Isso ocorre na função `getFilenameFromUrl()` quando o `publicPath` é configurado sem uma barra final. Um invasor pode criar uma requisição onde uma sequência de pontos (dot-dot) está incorporada em um segmento do caminho (ex: `/assets../.env`), ignorando a guarda de travessia. O sistema então corta o caminho em um deslocamento fixo, resultando em um traversal de caminho que resolve um diretório acima do caminho de saída. Este problema afeta especificamente ambientes onde o middleware é suportado pelo sistema de arquivos físico, como quando a variável `writeToDisk` é definida como `true` ou um `outputFileSystem` personalizado é fornecido. Se o servidor de desenvolvimento estiver exposto a uma rede ou permitir requisições de origem cruzada, um invasor poderá exfiltrar arquivos sensíveis, como senhas ou código-fonte.