Ravin06

Usuários autenticados podem causar consumo descontrolado de recursos ao ignorar o limite `service.maxitemsperpage`. Ao enviar `page=0` para os endpoints de listagem `/api/v1`, um invasor pode disparar consultas SQL ilimitadas, materialização de memória e fan-out de consulta por linha, degradando a disponibilidade do serviço para outros usuários.

Uma aplicação que utiliza o plugin CORS para o framework web Fastify pode travar durante uma requisição de preflight CORS se o plugin for registrado com a opção de hook `onSend` não padrão. Quando uma requisição OPTIONS contendo os cabeçalhos Origin e Access-Control-Request-Method é recebida, o plugin chama `reply.send()` de dentro do hook `onSend`, fazendo com que os cabeçalhos de resposta sejam gravados duas vezes. Isso resulta em um erro ERR HTTP HEADERS SENT não capturado que pode encerrar o processo Node.js caso não haja um manipulador de nível de processo instalado. Um cliente remoto não autenticado pode disparar esse estado com uma única requisição de preflight, impactando a disponibilidade do sistema.