Muhammad Sobirov

Um problema de injeção de comando de SO existe no Windows quando a função `shell quote nt` falha ao escapar adequadamente metacaracteres do `cmd.exe` ou aspas duplas incorporadas em nomes de arquivos de arquivo. Isso permite que invasores executem comandos arbitrários com os privilégios do processo patool ao fornecer nomes de arquivos especialmente criados, como `report&calc.gz`, para formatos de arquivo único executados com `shell=True`.

Ocorre cross-site scripting nos subparsers de links e imagens do `makehtml` devido a uma falha ao escapar aspas duplas em URLs de destino usadas nos atributos `href` e `src`. Isso permite que atacantes criem links ou imagens em markdown contendo uma aspa dupla seguida de manipuladores `onerror` ou `onmouseover` para executar scripts arbitrários quando um usuário visualiza o HTML renderizado.

O software segue links simbólicos no destino da extração. A função `Utils.sanitize` em `util/utils.js` não impõe a contenção adequadamente, comparando apenas a forma de string do nome de uma entrada de arquivo com a raiz de extração resolvida. Além disso, a função `Utils.writeFileTo` utiliza `fs.openSync(path, "w", 0o666)`, que resolve links simbólicos e não possui a flag `O NOFOLLOW` nem uma verificação `fs.lstatSync` prévia à escrita. Se um componente do caminho no destino for um link simbólico apontando para fora da raiz de extração, as funções `extractAllTo`, `extractAllToAsync` e `extractEntryTo` gravarão o conteúdo da entrada através desse link e alterarão as permissões do alvo. Isso permite que um invasor capaz de criar um link simbólico em um diretório de extração compartilhado ou previsível sobrescreva arquivos que o processo tenha permissão para gravar, desde que a opção de sobrescrita esteja habilitada.

O software inicia um backend HTTP Artifacts V4 sempre que os fluxos de trabalho utilizam actions/upload-artifact@v4 ou actions/download-artifact@v4. As RPCs do plano de controle, incluindo 'CreateArtifact', 'GetSignedArtifactURL', 'ListArtifacts', 'FinalizeArtifact' e 'DeleteArtifact', aceitam um `workflow run backend id` fornecido pelo chamador sem verificar se ele pertence ao solicitante. Isso ocorre porque a função `validateRunIDV4()` em pkg/artifacts/artifacts v4.go analisa o valor, mas não realiza a comparação necessária com o ID de execução da tarefa solicitante. Além disso, as URLs assinadas são autenticadas por meio de uma chave HMAC hardcoded (0xba 0xdb 0xee 0xf0), tornando as assinaturas forjáveis e ambíguas entre diferentes pares de nome de artefato e ID de tarefa. Por padrão, a flag `--artifact-server-addr` utiliza o endereço de saída do host em vez do endereço de loopback, deixando o backend acessível a partir da rede circundante. Isso permite que clientes não autorizados leiam, sobrescrevam ou excluam artefatos de jobs em execução simultaneamente, expondo potencialmente segredos e credenciais de implantação.

O método `SelectQueryBuilder.distinctOn` do TypeORM aceita um array de strings e o armazena no mapa de expressões sem validação. Para drivers da família PostgreSQL, a função `createSelectDistinctExpression()` em `src/query-builder/SelectQueryBuilder.ts` une esse array e interpola o resultado na instrução gerada como `SELECT DISTINCT ON (values)`. Isso ocorre sem escape, aspas, validação de identificadores ou lista de permissões (allowlist), e sem passar pelo auxiliar de escape do driver ou pelo `replacePropertyNames`. Como o ponto de interpolação é uma lista de expressões SQL entre parênteses, um invasor pode inserir expressões arbitrárias, incluindo subconsultas correlacionadas. Se uma aplicação encaminhar valores controlados pelo cliente para o `distinctOn`, isso permite que o cliente leia dados acessíveis pela função do banco de dados da aplicação através de inferência booleana ou baseada em tempo, independentemente da entidade consultada. Este caminho não é protegido pela verificação de lista de permissões `validateOrderByCondition` utilizada pela família `orderBy`.

O software não valida adequadamente os endereços de URL antes de retornar arquivos locais, permitindo o acesso potencial a arquivos na máquina do desenvolvedor. Isso ocorre na função `getFilenameFromUrl()` quando o `publicPath` é configurado sem uma barra final. Um invasor pode criar uma requisição onde uma sequência de pontos (dot-dot) está incorporada em um segmento do caminho (ex: `/assets../.env`), ignorando a guarda de travessia. O sistema então corta o caminho em um deslocamento fixo, resultando em um traversal de caminho que resolve um diretório acima do caminho de saída. Este problema afeta especificamente ambientes onde o middleware é suportado pelo sistema de arquivos físico, como quando a variável `writeToDisk` é definida como `true` ou um `outputFileSystem` personalizado é fornecido. Se o servidor de desenvolvimento estiver exposto a uma rede ou permitir requisições de origem cruzada, um invasor poderá exfiltrar arquivos sensíveis, como senhas ou código-fonte.