Str1Ckl4Nd

**Nome do Software Vulnerável e Versões Afetadas** webpack-dev-server versões anteriores a 5.2.6 **Description** Um peer não autenticado pode causar a terminação do processo Node.js, resultando em uma negação de serviço. Isso ocorre quando o servidor recebe uma requisição HTTP normal com um cabeçalho Host malformado ou uma requisição de upgrade de WebSocket para o endpoint `/ws` com um cabeçalho Origin malformado. Os valores malformados disparam uma exceção não capturada no caminho de validação do host, derrubando o servidor de desenvolvimento. O impacto limita-se à disponibilidade do servidor, sem risco de execução de código ou divulgação de dados. **Recommendations** Atualize para a versão 5.2.6 do webpack-dev-server. Mantenha o servidor de desenvolvimento vinculado ao localhost e evite expô-lo a redes não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** electron-updater versões anteriores a 9.7.0 **Description** O manipulador de redirecionamento HTTP `HttpExecutor.prepareRedirectUrlOptions()` remove apenas cabeçalhos de credenciais que correspondam exatamente à string em letras minúsculas "authorization". Consequentemente, outros cabeçalhos de credenciais, como `PRIVATE-TOKEN` ou cabeçalhos `Authorization` com letras maiúsculas e minúsculas, não são removidos e podem ser encaminhados para um destino de redirecionamento de origem cruzada controlado por um invasor, resultando na exposição de credenciais. **Recommendations** Atualize para a versão 9.7.0.

**Nome do Software Vulnerável e Versões Afetadas** http-proxy-middleware versões 0.16.0 até 2.0.9 http-proxy-middleware versões 3.0.0 até 3.0.5 http-proxy-middleware versões 4.0.0 até 4.0.9 **Description** Existe um problema na implementação da tabela de roteamento `router` onde os seletores de host+caminho utilizam correspondência de substring não ancorada em metadados de requisição. Quando uma chave de roteamento contém `/`, a função `getTargetFromProxyTable()` concatena o cabeçalho `Host` e a URL da requisição em uma única string e verifica se a chave configurada é uma substring desse valor combinado. Isso permite que um invasor ignore limites de roteamento ao fornecer um cabeçalho `Host` manipulado que funcione como uma correspondência de superstring para a chave configurada, potencialmente roteando requisições para backends não pretendidos. Isso afeta a função `createProxyMiddleware()` quando configurada com regras de host+caminho. **Recommendations** Atualize para a versão 2.0.10, 3.0.6 ou 4.1.0, dependendo da versão principal em uso. Como medida paliativa temporária, evite usar seletores de host+caminho na configuração do `router` em `createProxyMiddleware()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** undici versão 8.1.0 **Description** O cliente WebSocket do undici impõe o `maxPayloadSize` por quadro, mas não impõe o tamanho cumulativo de mensagens fragmentadas não compactadas. Um servidor WebSocket malicioso pode transmitir diversos fragmentos pequenos que passam individualmente na validação, mas que coletivamente excedem o limite configurado. Isso leva ao crescimento ilimitado da memória no processo do cliente, resultando em exaustão de memória e negação de serviço. Este problema afeta aplicações que utilizam o cliente `new WebSocket(...)` e que se conectam a endpoints comprometidos ou controlados por atacantes. **Recommendations** Atualize para as versões do undici 8.5.0 ou posteriores.