Nbars

**Name of the Vulnerable Software and Affected Versions** HotCRP versions October 2025 through January 2026 **Description** HotCRP is conference review software. Versions between October 2025 and January 2026 delivered documents of all types with inline Content-Disposition, causing them to be rendered in the user’s browser instead of being downloaded. This behavior was intended only for `text/plain`, `application/pdf`, `image/gif`, `image/jpeg`, and `image/png` files. However, adding `save=0` to the document URL could request inline delivery for any document. This made users vulnerable to cross-site scripting attacks when clicking a document link. Uploaded HTML or SVG documents could run in the viewer’s browser with access to their HotCRP credentials, allowing Javascript within those documents to make arbitrary calls to HotCRP’s API. Malicious documents could be uploaded to submission fields with “file upload” or “attachment” type, or as attachments to comments. PDF upload fields were not vulnerable. A search of documents uploaded to hotcrp.com found no evidence of exploitation. The issue was introduced in commit aa20ef288828b04550950cf67c831af8a525f508 and fixed in commit 8933e86c9f384b356dc4c6e9e2814dee1074b323. **Recommendations** Update to HotCRP version 3.2.1 or later.

**Nome do software vulnerável e versões afetadas** ECMAScript (versões afetadas não especificadas) **Descrição** Um problema na especificação ECMAScript relativa aos geradores assíncronos pode levar a uma implementação incorreta, de forma a representar um problema de segurança, como confusão de tipos e desreferência de ponteiros. O mecanismo interno do gerador assíncrono chama funções regulares de resolução de promessas em objetos IteratorResult, assumindo que esses objetos não serão then-ables. No entanto, esses objetos podem ser tornados then-ables, desencadeando comportamentos arbitrários, incluindo a reentrada no mecanismo do gerador assíncrono de uma forma que viola algumas invariantes internas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade. Os implementadores devem consultar a especificação ECMAScript mais recente e atualizar suas implementações para estar em conformidade com a seção `AsyncGenerator`. Os usuários que não puderem atualizar para a versão corrigida devem usar mecanismos de tratamento de exceções para garantir que quaisquer exceções causadas pelo mecanismo não afetem a disponibilidade do aplicativo principal.

**Nome do software vulnerável e versões afetadas** Versões do Boa de 0.16 a 0.19.0 **Descrição** Uma suposição incorreta na implementação do `AsyncGenerator` pelo Boa pode causar uma exceção não interceptada em determinados scripts. Isso ocorre porque presume-se que o estado de um objeto `AsyncGenerator` não se altere durante a resolução de uma promessa criada por métodos como `%AsyncGeneratorPrototype%.next`, `%AsyncGeneratorPrototype%.return` ou `%AsyncGeneratorPrototype%.throw`. No entanto, um código cuidadosamente construído pode acionar uma transição de estado a partir de um método getter para a propriedade `then` da promessa, fazendo com que o mecanismo falhe na verificação dessa suposição e resultando em uma exceção não capturada. Isso poderia ser usado para criar um ataque de Negação de Serviço em aplicativos que executam código ECMAScript arbitrário fornecido por um usuário externo. **Recomendações** Para as versões 0.16 a 0.19.0, atualize para a versão 0.19.0 para lidar corretamente com este caso. Para usuários que não possam atualizar para a versão corrigida, use `std::panic::catch unwind` para garantir que quaisquer exceções causadas pelo mecanismo não afetem a disponibilidade do aplicativo principal.

**Nome do software vulnerável e versões afetadas** Versões do Mozilla Firefox anteriores à 128 Versões do Mozilla Firefox ESR anteriores à 115.13 Versões do Mozilla Thunderbird anteriores à 115.13 Versões do Mozilla Thunderbird anteriores à 128 **Descrição** O problema está relacionado a uma confusão de tipos nos Geradores Assíncronos, podendo levar à corrupção de memória e a uma falha explorável. Isso poderia permitir que um invasor remoto causasse uma negação de serviço. O problema está associado a um erro na especificação ECMA-262. **Recomendações** Para versões do Mozilla Firefox anteriores à 128, atualize para a versão 128 ou posterior. Para versões do Mozilla Firefox ESR anteriores à 115.13, atualize para a versão 115.13 ou posterior. Para versões do Mozilla Thunderbird anteriores à 115.13, atualize para a versão 115.13 ou posterior. Para versões do Mozilla Thunderbird anteriores à 128, atualize para a versão 128 ou posterior. Como solução alternativa temporária, considere usar `std::panic::catch unwind` para garantir que quaisquer exceções causadas pelo mecanismo não afetem a disponibilidade do aplicativo principal.