N1Rwhex

O baixador de plugins OCI contém um problema na função `ExtractPluginFromImage()` onde binários de plugins são extraídos de imagens de contêiner através do streaming de dados tar descompactados via `io.Copy` sem um limite no número de bytes gravados. Um invasor que controle ou comprometa o registro OCI pode fornecer uma imagem manipulada contendo uma bomba de descompressão—um arquivo que se expande para um tamanho arbitrariamente grande ao ser descompactado—levando à exaustão do disco. Como a verificação de integridade SHA256 é realizada apenas após o arquivo ser totalmente gravado no disco, a incompatibilidade do hash é detectada tarde demais para evitar o impacto. Isso permite que um invasor substitua uma imagem de plugin legítima sem a necessidade de alterar sua assinatura.

Um problema de XSS (Cross-Site Scripting) reflexo baseado em DOM existe em `taillog.js`. Um invasor não autenticado pode injetar HTML arbitrário na interface de administração ao criar uma URL maliciosa. Isso ocorre porque o parâmetro de consulta `file` é interpolado em uma atribuição `innerHTML` sem a devida filtragem. Além disso, a Política de Segurança de Conteúdo (Content-Security-Policy) carece de uma diretiva `form-action`, o que permite que elementos `<form>` injetados exfiltrem credenciais para uma origem externa.