Pavanchow

Existe um problema de consumo descontrolado de recursos que permite que atacantes não autenticados esgotem os recursos do servidor. Ao possuir um UUID de visualização compartilhada, um atacante pode enviar um corpo volumoso de objetos de filtro mínimos via requisição POST para endpoints de processamento em lote de visualizações compartilhadas. Esta ação dispara uma consulta completa ao banco de dados para cada entrada fornecida, o que pode causar a interrupção do processo NocoDB.

Uma falha permite que um invasor remoto grave arquivos de atalho de SO arbitrários, como `.desktop`, `.url` e `.webloc`, no sistema de arquivos do usuário. Isso ocorre porque a lista de permissões de extensões de arquivo usada para evitar downloads inseguros incluía explicitamente essas extensões de atalho para manter a funcionalidade da opção `--write-link`. Invasores podem explorar isso criando um arquivo m3u8 malicioso contendo uma tag `EXT-X-MEDIA:TYPE=SUBTITLES` com uma URI maliciosa. Se um usuário utilizar a opção `--write-subs`, o software poderá gravar conteúdo controlado pelo invasor em um arquivo com extensão de atalho. Esses arquivos podem conter comandos de shell ou apontar para executáveis remotos, permitindo ataques de phishing ou execução de código arbitrário se o usuário for enganado e os abrir.