Rexpository

O endpoint '/v1/responses' permite que um usuário autenticado forneça um template malicioso através da variável `chat template` dentro de `chat template kwargs` quando nenhum template de servidor está configurado. A função `get apply chat template kwargs()` não impõe a política `trust request chat template`, permitindo que a requisição ignore os controles de segurança. Isso pode causar exaustão de CPU ou memória durante a renderização Jinja, um processo utilizado para gerar templates de texto.

A validação inadequada de entrada no conversor gRPC em Rust permite que atacantes remotos ignorem os limites de `max logprobs`. Ao enviar solicitações Generate ou GenerateStream com valores excessivos ou de inversão de inteiro na variável `CandidateTokens.top n`, um atacante pode causar falhas no `torch.topk()`, resultando na terminação do EngineCore.

Um problema de bomba de descompressão existe no caminho multimodal AudioMediaIO porque a função `load audio()` é chamada sem o limite de duração decodificada `max duration s`. Atacantes autenticados podem explorar isso enviando pequenos arquivos de áudio compactados através dos parâmetros `input audio` ou `audio url` no endpoint '/v1/chat/completions'. Esses arquivos expandem-se em PCM (Pulse Code Modulation, um formato de áudio bruto) enorme, esgotando a memória do servidor.

A validação inadequada de entrada nos serviços Rust gRPC Generate e GenerateStream permite o encaminhamento de IDs de tokens de prompt não verificados para o EngineCore. Um invasor pode enviar solicitações contendo valores `prompt.token ids` fora do vocabulário, desencadeando uma falha fatal de busca de incorporação (embedding lookup). Essa falha encerra o EngineCore, deixando o servidor em estado instável.

Um problema de negação de serviço existe no frontend gRPC em Rust que permite que atacantes remotos terminem o EngineCore. Ao enviar solicitações Generate ou GenerateStream com `output logprobs` habilitado e fornecer mais de 128 `output candidates.token ids`, um atacante pode ignorar os limites e disparar uma exceção fatal do sampler, resultando no travamento do mecanismo.

Ocorre uma condição de corrida de link simbólico do tipo time-of-check time-of-use (TOCTOU) ao executar um script magick. Isso permite que invasores ignorem a política de segurança de caminho ao trocar um caminho verificado por um link simbólico durante a execução, permitindo a leitura de arquivos que a política de segurança deveria bloquear.

Uma falha de bypass de autorização permite que usuários de registros autenticados leiam registros em outros namespaces ou bancos de dados. Isso ocorre quando invasores alternam para um namespace ou banco de dados estrangeiro e especificam um id de registro conhecido em uma consulta `RETURN ... FETCH` para ler dados de outro locatário, desde que as `PERMISSIONS` da tabela permitam a leitura.

Existe uma falha de bypass de política na operação `-script` causada pela ausência de verificações no manuseio de descritores de arquivo. Isso permite que atacantes fechem descritores de arquivo que não foram abertos pela operação atual, possibilitando a evasão de políticas de segurança configuradas.

Um problema de injeção de código existe no decodificador MVG ao utilizar um renderizador PostScript. Um invasor pode fornecer um arquivo MVG especialmente criado que, durante o processo de decodificação, injeta código no caminho de renderização PostScript.

A injeção de código é possível nos codificadores PostScript porque certos valores não são devidamente escapados ou aparados durante a saída. Isso permite que invasores incorporem código PostScript arbitrário em arquivos gerados ao fornecer valores especialmente manipulados.

Um estouro de buffer de heap ocorre quando uma chamada manipulada é feita para a API 'GetVirtualPixels'. Isso permite que atacantes sobrescrevam a memória do heap por meio de entradas manipuladas, o que pode levar ao travamento do servidor e a uma consequente negação de serviço. Um estouro de buffer de heap é uma condição em que um programa grava mais dados em um bloco de memória alocado no heap do que ele pode suportar.

Ocorre um vazamento de recursos quando o software processa um script magick manipulado, permitindo que atacantes deixem ponteiros de arquivo abertos. Isso leva ao vazamento de descritores de arquivo, o que pode esgotar os recursos do sistema e resultar em uma negação de serviço.

Um problema de negação de serviço existe no decodificador MVG devido a uma verificação de limite ausente. Um invasor pode fornecer uma imagem MVG especialmente manipulada que dispara uma operação de decodificação de longa duração, levando ao consumo excessivo de recursos de CPU e travando o processamento de imagens.

O caminho de colagem de células da área de transferência do sistema aceita JSON de célula controlado por um invasor sem limpar o atributo `metadata.trusted`. Quando a configuração `useSystemClipboardForCells` está ativa e `pasteCodeCellsWithoutOutput` está desativada, uma célula de código colada pode marcar a saída HTML como confiável. Isso permite ignorar a sanitização de saída e executar scripts na origem autenticada do JupyterLab sem a necessidade de executar a célula. Células de Markdown e brutas não são afetadas, pois sua saída é sanitizada.

No PyPI Extension Manager, a função `ExtensionHandler.post` valida nomes de extensões durante a instalação, mas não rejeita valores semelhantes a opções durante a desinstalação. Esses valores são passados diretamente para `PyPIExtensionManager.uninstall` e para o comando `python -m pip uninstall`. Um usuário autenticado com acesso à API de extensão pode fornecer uma opção de requisitos do pip para forçar o servidor a ler um arquivo local ou buscar uma URL interna, onde erros de análise refletidos podem revelar a primeira linha não analisável ou o conteúdo da resposta. Além disso, uma opção de log do pip pode ser usada para criar ou corromper um caminho de arquivo específico com texto de log gerado pelo pip. Este problema requer que o PyPI Extension Manager esteja habilitado e que o usuário tenha acesso à API de extensão.

O software não aplica o invariante de propriedade do armazenamento de suporte do Buffer aos Buffers retornados de módulos integrados do host. Quando o módulo `zlib` é exposto através da lista de permissões integrada do NodeVM, a função `zlib.deflateSync()` pode retornar um Buffer apoiado pelo pool de buffers pequenos compartilhados. Isso permite que códigos de convidados não confiáveis criem uma visão de largura total do `ArrayBuffer` para ler e modificar bytes de buffers do host não relacionados, resultando na divulgação e corrupção de memória do host através da fronteira do sandbox.

As mutações de alternância global de Memória Ativa podem omitir verificações de autorização do proprietário. Isso permite que um remetente de canal externo autorizado, mas que não seja o proprietário, habilite ou desabilite persistentemente a Memória Ativa para o Gateway. Consequentemente, a recuperação de memória para sessões futuras pode ser desativada, ou a recuperação global pode ser reativada contrariando as expectativas do proprietário. Este problema está restrito a mutações globais persistentes de ativação/desativação, enquanto os controles de nível de sessão e o status de apenas leitura continuam a ser gerenciados pela política de comando existente.

Um problema de negação de serviço existe no relay da extensão do navegador. Fontes de rede não autenticadas podem esgotar a capacidade de autenticação pendente ao manter upgrades de WebSocket silenciosos. Esta ação ocupa todos os slots pendentes disponíveis, impedindo que extensões emparelhadas concluam o processo de Browser Relay Authentication v2.

Existe uma falha de bypass de autorização no endpoint `/voice set`. Isso permite que remetentes de canais externos que não sejam proprietários persistam a configuração de voz do Gateway. Atacantes com acesso ao comando podem alterar a voz utilizada pelas respostas do Talk para o provedor configurado, comprometendo a integridade da configuração. Este problema não expõe credenciais nem concede capacidades adicionais ao host.

As mutações de sonho de memória persistente omitem verificações de permissão do proprietário. Um remetente de canal externo autorizado, mas que não seja o proprietário, pode emitir os comandos '/dreaming on' e '/dreaming off' para ativar ou desativar o comportamento de sonho do Memory Core do Gateway. Isso permite que um invasor desative o processamento de memória em segundo plano ou reative a promoção de memória durável contra as expectativas do proprietário. O impacto na confidencialidade, integridade e disponibilidade depende do material de conversa armazenado e do uso subsequente da memória. O status de somente leitura e os comandos de ajuda não são afetados.