Notaflightrisk

Usuários autenticados podem causar consumo descontrolado de recursos ao solicitar avatares em diversos tamanhos distintos. Ao fazer o upload de um avatar ruidoso e solicitá-lo em cada tamanho até 1024, um invasor pode cachear aproximadamente um gigabyte de dados por conta sem a exclusão do cache. Isso leva ao encerramento do processo da API por OOM-killed, que ocorre quando o sistema operacional encerra um processo porque a memória disponível do sistema se esgotou.

Quando `escapeParameter` está habilitado e as traduções são renderizadas como HTML via `v-html`, a função `sanitizeTranslatedHtml()` não lida adequadamente com o atributo `srcdoc` de elementos `<iframe>`. Embora o sanitizador escape a marcação e neutralize manipuladores de eventos, os navegadores decodificam essas referências de caracteres ao analisar o valor de `srcdoc` como um documento HTML aninhado de mesma origem. Isso permite que parâmetros controlados por atacantes ou conteúdo de tradução colocado em `srcdoc` executem scripts arbitrários na origem da aplicação, resultando em Cross-Site Scripting (XSS) baseado em DOM. Este problema pode ocorrer se valores não confiáveis forem passados como parâmetros para `srcdoc`, se as mensagens de tradução contiverem HTML não confiável ou se valores nomeados não confiáveis forem usados juntamente com uma lista.

Existe um problema de negação de serviço onde atacantes podem exaurir os recursos da CPU através de parsing de tempo quadrático na função `Snapshot::from bytes()`. Ao enviar um arquivo .mailmap manipulado com entradas em ordem decrescente, um atacante pode forçar inserções frontais repetidas, bloqueando trabalhadores que executam operações de log, blame ou shortlog por vários minutos.

O Seroval facilita a stringificação de valores JS, incluindo estruturas complexas. A função `deserializeTypedArray` em `fromJSON` e `fromCrossJSON` confia em um valor de origem desserializado como um ArrayBuffer e não limita a contagem de elementos serializados. Um invasor pode fornecer um objeto JSON não confiável pequeno com um valor de comprimento grande, fazendo com que o construtor TypedArray aloque síncronamente o número selecionado de elementos, exaurindo a CPU ou a memória e interrompendo o event loop. A verificação de deslocamento não rejeita a origem manipulada porque `source.byteLength` está indefinido. O DataView atinge um cast não verificado semelhante, mas gera um erro em vez de realizar a alocação.

O parser JSONC em stream-json/jsonc/parser.js e o verifier em stream-json/jsonc/verifier.js reiniciam a varredura do terminador de comentário a partir da barra de abertura sempre que um comentário de bloco ou de linha abrange um chunk de entrada, mantendo o buffer de comentário acumulado. Esse comportamento pode causar um trabalho de CPU quadrático e travar o event loop do Node.js se um comentário válido e grande for entregue em muitos chunks pequenos. Este problema afeta especificamente o parser JSONC e não impacta o parser JSON simples. O vetor de ataque é considerado local, pois a entrada JSONC geralmente consiste em configurações de propriedade local ou controladas pelo usuário.

A função `Client.list()` está suscetível a uma Negação de Serviço (DoS) ao interagir com um servidor FTP malicioso ou comprometido. O problema ocorre durante a análise de listagens de diretórios no estilo Unix, onde a expressão `RE LINE` em `src/parseListUnix.ts` realiza um backtracking ineficiente entre campos de proprietário e grupo de comprimento variável adjacentes. Isso acontece quando uma linha longa no estilo Unix contém um prefixo válido, mas não satisfaz os campos de tamanho e data subsequentes. Como a função `parseList()` aplica o analisador selecionado a cada linha, uma resposta manipulada pode causar consumo quadrático de CPU, bloqueando o loop de eventos do Node.js e congelando o processo. Listagens baseadas em MLSD não são afetadas.

Este analisador de URI para Node.js decodifica escapes de porcentagem em um hostname durante a análise e, posteriormente, decodifica o hostname analisado uma segunda vez durante a recomposição da autoridade. Essa decodificação dupla permite que entradas com codificação de porcentagem aninhada sejam transformadas em um destino de rede diferente, como um hostname ou endereço de loopback, o que viola a seção 2.4 da RFC 3986. Aplicações que normalizam ou resolvem URIs de família HTTP não confiáveis antes do roteamento de saída, validação de redirecionamento ou verificações de política de host podem estar suscetíveis a server-side request forgery (SSRF) e bypass de política de host.