Sapphi-Red

Ocorre a exposição de código-fonte entre origens ao servir através de uma origem não potencialmente confiável, como HTTP simples. O problema surge porque a correção anterior dependia dos cabeçalhos de requisição `Sec-Fetch-Mode` e `Sec-Fetch-Site`, que os navegadores omitem para origens não confiáveis. Isso permite que um site malicioso carregue o código agrupado como um script e o leia entre origens. Um invasor que controle um site visitado por um desenvolvedor pode recuperar o código-fonte da aplicação se o servidor for executado via HTTP em um host e porta previsíveis. Navegadores baseados em Chromium a partir do Chrome 142 não são afetados devido a restrições de acesso à rede local.

A vulnerabilidade permite que um atacante roube o código fonte dos usuários quando estes acessam um site malicioso. Isso é possível porque a requisição de um script clássico via tag script não está sujeita à política de mesma origem, permitindo que um atacante injete e execute um script malicioso. O atacante precisa conhecer a porta e o caminho do script de entrypoint de saída. Ao combinar isso com poluição de protótipo, o atacante pode obter uma referência às variáveis de runtime do webpack. O uso de `Function::toString` nos valores em ` webpack modules ` permite que o atacante obtenha o código fonte.

O problema permite que um invasor obtenha o código-fonte por meio de um método similar ao utilizado para explorar uma vulnerabilidade relatada anteriormente. Isso é possível porque o webpack-dev-server sempre permite cabeçalhos `Origin` de endereço IP, permitindo que sites servidos em endereços IP se conectem via WebSocket. O cabeçalho `Origin` é verificado para prevenir o sequestro de WebSocket entre sites (Cross-site WebSocket hijacking).

Este problema é semelhante a uma vulnerabilidade conhecida anteriormente. Ao executar um servidor Next.js localmente, o servidor WebSocket está suscetível a ataques de sequestro de WebSocket entre sites (CSWSH). Se um usuário visitar um link malicioso enquanto o servidor de desenvolvimento do Next.js estiver em execução, um atacante pode acessar o código-fonte dos componentes do cliente. Isso afeta aplicativos que usam o App Router, que era experimental nas versões 13.0.0 a 13.3.x. A vulnerabilidade permite que um atacante espione a atividade de desenvolvimento e roube código-fonte.

Nome do Software Vulnerável e Versões Afetadas: Versões do Vitest anteriores a 2.1.9 Versões do Vitest anteriores a 3.0.4 Descrição: O manipulador ` screenshot-error` no servidor HTTP do modo de navegador responde a qualquer arquivo no sistema de arquivos. Se o servidor for exposto na rede através de `browser.api.host: true`, um atacante pode enviar uma solicitação para esse manipulador remotamente para obter o conteúdo de arquivos arbitrários. Este problema permite que atacantes leiam arquivos arbitrários no sistema. Recomendações: Para versões anteriores a 2.1.9, atualize para a versão 2.1.9 ou posterior. Para versões anteriores a 3.0.4, atualize para a versão 3.0.4 ou posterior. Como solução alternativa temporária, considere desativar a configuração `browser.api.host: true` para impedir a exposição do servidor do modo de navegador à rede. Restrinja o acesso ao manipulador ` screenshot-error` para minimizar o risco de exploração. Evite usar o parâmetro `file` no manipulador ` screenshot-error` até que o problema seja resolvido.

O Vitest, um framework de testes baseado no Vite, está suscetível à execução arbitrária de código remoto quando acessado via um site malicioso enquanto o servidor API do Vitest estiver em escuta. Isso se deve a uma vulnerabilidade de Sequestro de WebSocket entre sites (CSWSH). Quando a opção `api` está habilitada (o que a UI do Vitest faz por padrão), o Vitest inicia um servidor WebSocket que não verifica o cabeçalho Origin nem implementa nenhum mecanismo de autorização. Este servidor inclui as APIs `saveTestFile` e `rerun`. Um atacante pode explorar isso injetando código em um arquivo de teste usando a API `saveTestFile` e, em seguida, executando esse código chamando a API `rerun`, potencialmente levando à execução de código remoto para usuários que utilizam a API serve do Vitest.

Uma correção incompleta nos builders webpack e rspack permite que o código-fonte seja roubado durante o desenvolvimento. Isso ocorre se o servidor de desenvolvimento estiver vinculado a um endereço que não seja de loopback (por exemplo, ao usar `nuxt dev --host`) e um desenvolvedor acessar um site malicioso na mesma rede. O problema decorre da dependência dos cabeçalhos `Sec-Fetch-Mode` e `Sec-Fetch-Site`, que os navegadores enviam apenas para origens potencialmente confiáveis, permitindo que a verificação seja ignorada para origens não confiáveis.

O código-fonte pode ser roubado durante o desenvolvimento ao usar o builder webpack ou rspack e uma vítima abrir um site malicioso. Como a requisição de um script clássico por uma tag script não está sujeita à política de mesma origem, um atacante pode injetar um script malicioso em seu site e executar o script. Ao usar `Function::toString` nos valores em `window.webpackChunknuxt app`, o atacante pode obter o código-fonte.