Oxqnd

Um problema de Negação de Serviço (DoS) existe na função `request.form()` ao processar requisições `application/x-www-form-urlencoded`. Enquanto os limites de `max fields` e `max part size` são aplicados para `multipart/form-data`, eles são ignorados para corpos codificados em URL. Isso permite que um invasor não autenticado cause exaustão de recursos de duas maneiras: enviando um grande número de campos (por exemplo, 1.000.000 de campos), o que bloqueia o loop de eventos do worker e consome CPU, ou enviando um único campo muito grande, o que força a alocação de memória ilimitada.

Dois scripts de shell, `pihole-FTL-prestart.sh` e `pihole-FTL-poststop.sh`, executados como root pelo systemd, leem o caminho `files.pid` da configuração sem validação e o utilizam em operações de ficheiros privilegiadas. Um atacante com privilégios de pihole pode escrever um caminho arbitrário em `files.pid` para fazer com que o utilizador root elimine e recrie qualquer ficheiro no sistema fora dos diretórios ProtectSystem=full-restricted, obtendo acesso de escrita a esses ficheiros. Em instalações padrão, isso permite a escalada de privilégios locais para root através da manipulação de chaves autorizadas SSH.

A validação da linha de requisição pode ser ignorada quando um `DefaultHttpRequest` ou `DefaultFullHttpRequest` é criado e seu URI é posteriormente modificado usando a função `setUri()`. Embora os construtores rejeitem caracteres CRLF (Carriage Return Line Feed) e espaços em branco para evitar a corrupção da linha inicial, o `setUri()` não realiza essa validação. Consequentemente, o `HttpRequestEncoder` e o `RtspEncoder` escrevem o URI na linha de requisição literalmente. Se uma entrada controlada por um invasor for passada para `setUri()`, isso permite a injeção de CRLF e a inserção de requisições HTTP ou RTSP adicionais. Isso pode levar ao contrabando de requisições HTTP (HTTP request smuggling), dessincronização no lado HTTP e injeção de requisições no lado RTSP.

Name of the Vulnerable Software and Affected Versions AIOHTTP versões anteriores a 3.13.4 Description O analisador C, usado por padrão na maioria das instalações, permitia bytes nulos e caracteres de controle dentro dos cabeçalhos de resposta. Um invasor poderia aproveitar isso para enviar valores de cabeçalho que são interpretados inesperadamente devido à presença de caracteres de controle. Por exemplo, `request.url.origin()` pode retornar um valor diferente do cabeçalho Host bruto, potencialmente levando a uma violação de segurança. Recommendations Atualize para a versão 3.13.4 ou posterior.

O NiceGUI, um framework de UI baseado em Python, é suscetível a Cross-Site Scripting (XSS) quando desenvolvedores renderizam entrada do usuário não escapada no DOM usando `ui.html()`. O framework não aplicava sanitização de HTML ou JavaScript antes da versão 3.0.0, permitindo que atacantes executassem JavaScript arbitrário no navegador do usuário caso as aplicações combinassem diretamente componentes como `ui.input()` com `ui.html()` ou `ui.chat message` com conteúdo HTML sem o devido escapamento. O caminho de código vulnerável ocorre quando a entrada do usuário é renderizada literalmente no DOM da página via `innerHTML`. Uma prova de conceito demonstra que a injeção de um payload malicioso, como `<img src=x onerror=alert('XSS')>`, aciona um alerta JavaScript. O problema afeta aplicações que refletem diretamente a entrada do usuário via `ui.html()` ou `ui.chat message` no modo HTML, potencialmente levando à execução de código no lado do cliente, incluindo sequestro de sessão ou phishing.