Pucagit

A construção insegura de caminhos de URL ocorre devido a valores de identificadores fornecidos pelo chamador e não sanitizados, utilizados em caminhos de requisição HTTP para operações de recursos. Identificadores que contenham caracteres com significado especial em caminhos de URL podem fazer com que as requisições enderecem recursos ou tipos de recursos diferentes do pretendido. Em ambientes onde os valores de identificadores originam-se de fontes não confiáveis, isso pode levar ao acesso, modificação ou exclusão não autorizada de recursos. Isso é particularmente crítico em implementações que encaminham valores fornecidos pelo usuário final diretamente para parâmetros de identificador do SDK sem validação (como verificações de UUID) e dependem de autorização baseada em prefixo de URL em uma camada upstream, como um proxy reverso, gateway de borda ou Web Application Firewall (WAF), onde a decisão de autorização é baseada no caminho pretendido da chamada do SDK em vez do caminho final da requisição entregue.

O Frappe, um framework de aplicação web full-stack, contém um problema de path traversal que pode permitir a leitura arbitrária de arquivos não autenticados em superfícies expostas à internet, como o ERPNext. Mais de 115.700 dispositivos potencialmente afetados foram identificados em todo o mundo. Path traversal é uma técnica onde um invasor usa caracteres especiais para acessar arquivos e diretórios fora da pasta pretendida.

O LangChain contém caminhos de código de tempo de execução que desserializam entradas, saídas ou outras cargas controladas pela aplicação usando listas de permissão de objetos excessivamente amplas, especificamente chamando `load()` com `allowed objects="all"`. Isso permite que dicionários de construtores serializados fornecidos por atacantes instanciem classes confiáveis com argumentos não confiáveis. Este problema pode levar ao Server-Side Request Forgery (SSRF), permitindo o acesso a serviços internos, endpoints de metadados de nuvem ou recursos de rede sensíveis, o que pode resultar no roubo de credenciais e comprometimento persistente da cadeia de suprimentos. As aplicações estão expostas se aceitarem entradas estruturadas não confiáveis (como JSON) sem validação, preservarem dicionários ou listas aninhadas controladas por atacantes nos dados de execução e utilizarem caminhos de API afetados. As superfícies afetadas conhecidas incluem a classe `RunnableWithMessageHistory`, a função `astream log()` e a função `astream events(version="v1")`. Além disso, uma falha de validação de marcador de segredo na função ` is lc secret` permite que dicionários de construtores evitem a filtragem durante ciclos de `dumps()` para `loads()`.