Rampage0010

**Nome do Software Vulnerável e Versões Afetadas** undici versões 7.0.0 até 7.28.x undici versões 8.0.0 até 8.8.x **Description** O interceptor de cache lida incorretamente com espaços em branco opcionais ao redor do sinal de igual em diretivas `no-cache` ou `private` qualificadas do `Cache-Control`. O analisador pode descartar a diretiva ou armazenar um nome de campo contendo caracteres de aspas literais, fazendo com que a decisão de cache ignore a qualificação e armazene a resposta. No modo de cache compartilhado, isso pode permitir que uma resposta contendo dados autenticados de um usuário seja servida a um chamador posterior, incluindo usuários não autenticados, caso ambas as solicitações resolvam para a mesma chave de cache. Este problema afeta aplicações que habilitam o interceptor de cache em modo compartilhado, encaminham cabeçalhos `Authorization` para upstream e recebem respostas cacheáveis com diretivas qualificadas contendo espaços em branco ao redor do sinal de igual. **Recommendations** Atualizar para a versão 7.29.0. Atualizar para a versão 8.9.0.

**Nome do Software Vulnerável e Versões Afetadas** fast-uri versões 2.3.1 até 4.1.0 **Description** O software não trata o caractere de barra invertida literal (U+005C) como um delimitador de autoridade. Como o analisador de URL WHATWG nativo do Node normaliza barras invertidas para barras normais em esquemas específicos, como http, https, ws, wss, ftp e file, os dois analisadores podem extrair hosts diferentes da mesma string de entrada. Essa discrepância pode ser explorada em aplicações que utilizam o fast-uri para aplicar políticas baseadas em host — como listas de permissão (allowlists), listas de bloqueio (denylists), filtragem de loopback ou SSRF (Server-Side Request Forgery), validação de redirecionamento ou roteamento de proxy de saída — antes de passar a URL para os consumidores de URL ou fetch do Node. Isso pode fazer com que as requisições sejam direcionadas a destinos indesejados, incluindo hosts internos, endereços de loopback ou endpoints de metadados de nuvem. **Recommendations** Atualizar fast-uri versões 4.x para 4.1.1 Atualizar fast-uri versões 3.x para 3.1.4 Atualizar fast-uri versões 2.x para 2.4.3