Sebastian Beltran

Ocorre a exposição de código-fonte entre origens ao servir através de uma origem não potencialmente confiável, como HTTP simples. O problema surge porque a correção anterior dependia dos cabeçalhos de requisição `Sec-Fetch-Mode` e `Sec-Fetch-Site`, que os navegadores omitem para origens não confiáveis. Isso permite que um site malicioso carregue o código agrupado como um script e o leia entre origens. Um invasor que controle um site visitado por um desenvolvedor pode recuperar o código-fonte da aplicação se o servidor for executado via HTTP em um host e porta previsíveis. Navegadores baseados em Chromium a partir do Chrome 142 não são afetados devido a restrições de acesso à rede local.

Ocorre uma negação de serviço quando uma requisição multipart/form-data é enviada com um nome de campo que colide com uma propriedade herdada do Object.prototype, como ` proto `, `constructor` ou `toString`. Isso faz com que o analisador invoque a função `.push()` no valor do protótipo herdado em vez de um array, resultando em um TypeError que gera uma exceção não capturada e interrompe o processo. Este problema afeta qualquer serviço que aceite uploads multipart via multiparty.

O software é suscetível a uma condição de negação de serviço decorrente do processamento ineficiente de corpos de requisição codificados em URL contendo um grande número de parâmetros. Um atacante pode explorar isso enviando requisições com milhares de parâmetros dentro do limite de tamanho de requisição de 100KB, resultando em aumento do consumo de CPU e memória. Isso pode causar degradação do serviço ou indisponibilidade quando submetido a tráfego malicioso contínuo.