Seal Security

**Nome do Software Vulnerável e Versões Afetadas** extract-zip versões anteriores a 2.0.2 **Descrição** As verificações de contenção validam apenas o diretório pai de cada entrada do arquivo e ignoram o componente final do caminho da própria entrada. Isso permite que um arquivo contendo duas entradas com nomes idênticos—um link simbólico cujo alvo está fora do destino, seguido por um arquivo regular—escreva através do link simbólico plantado, resultando em uma gravação de arquivo arbitrária fora do diretório de destino. **Recomendações** Atualize para a versão 2.0.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** baseline-browser-mapping versões 2.x até 2.10.x **Descrição** O software chama `process.exit()` em vez de lançar um erro ao encontrar parâmetros de entrada inválidos ou conflitantes. Esse comportamento pode desencadear a terminação imediata do processo, resultando em negação de serviço. **Recomendações** Atualize o baseline-browser-mapping para a versão 2.11.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fflate versões anteriores a 0.8.3 **Description** Ocorre uma negação de serviço devido a um loop infinito na função `unzipSync()`. Isso acontece ao processar um arquivo ZIP especialmente criado onde uma entrada de diretório central declara `compressed size` como `0xFFFFFFFF` (um sentinela ZIP64), mas carece da tag de campo extra ZIP64 obrigatória `0x0001`. Essa configuração faz com que a função `z64e()` entre em loop indefinidamente porque leituras fora dos limites retornam `undefined`, que é convertido para `0`, mantendo a condição do loop permanentemente verdadeira. **Recommendations** Atualize o fflate para a versão 0.8.3 ou posterior. Como mitigação temporária, evite usar a função `unzipSync()` para processar arquivos ZIP de fontes não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** decode-uri-component versões 0.4.1 e anteriores **Descrição** Um problema de negação de serviço existe onde a função `decode()` divide a entrada com base no caractere '%', criando N tokens que são então processados por `decodeComponents()`. Este processo resulta em um tempo de análise superlinear, onde o aumento no número de tokens aumenta significativamente o tempo de processamento (por exemplo, 200 tokens levam 0,7s, enquanto 1400 tokens levam 33s). Um invasor pode explorar isso fornecendo entradas manipuladas para causar alto consumo de CPU e bloquear o event-loop. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.