Tepel-Chen

A função `mergeDeep()` no pacote de utilitários do GraphQL Tools não exclui as chaves ` proto `, `constructor` ou `prototype` ao mesclar objetos de origem recursivamente. Um cliente não autenticado pode criar aliases de campos com esses nomes, fazendo com que as respostas de dois subgráficos colidam durante a mesclagem de resultados do supergráfico. Isso permite que a função percorra os protótipos de Object e Function e sobrescreva `Function.prototype.call` com um valor fornecido por um subgráfico, resultando em uma negação de serviço que interrompe todas as requisições subsequentes até que o processo seja reiniciado.

A Neutralização Imprópria de Sequências CRLF permite a Divisão de Requisição HTTP (HTTP Request Splitting). O software não realiza a codificação percentual (percent-encode) de caracteres de retorno de carro (`r`) ou alimentação de linha (` `) no componente de consulta da URL antes de construir o alvo da requisição HTTP/1.1. Especificamente, a função `hackney url:make url/3` passa o binário da consulta diretamente sem validação ou escape, violando a seção 3.4 da RFC 3986. Um atacante que controle parte de uma URL pode injetar sequências CRLF brutas na string de consulta, permitindo a injeção de cabeçalhos HTTP arbitrários ou a divisão da requisição HTTP.

Existe uma falha no Frappe que permite a um atacante injetar código malicioso por meio de uma URL de imagem manipulada. Isso pode resultar em Cross-Site Scripting (XSS) quando o avatar de um usuário é exibido. O problema pode ser acionado para outros usuários por meio de comentários em páginas do site.