Tharvid

Happy DOM é uma implementação em JavaScript de um navegador web sem sua interface gráfica de usuário. Ao analisar HTML não confiável no servidor, o software carrega URLs `src` de `iframe` e URLs `href` de `link rel="stylesheet"` por padrão. Isso ocorre porque as variáveis `disableIframePageLoading` e `disableCSSFileLoading` têm como valor padrão `false`. Um invasor que controle o HTML analisado pode desencadear o Server-Side Request Forgery (SSRF), fazendo com que o servidor realize requisições para endpoints internos ou de nuvem arbitrários. Isso pode levar à exposição de respostas confidenciais, varredura de rede interna ou roubo de credenciais de nuvem de endpoints de metadados.

O XMLBuilder não escapa a sequência "-->" no conteúdo de comentários nem a sequência ">>" em seções CDATA ao construir XML a partir de objetos JavaScript. Essa falha permite a injeção de XML quando dados controlados pelo usuário fluem para comentários ou elementos CDATA, podendo levar a cross-site scripting (XSS), injeção SOAP ou manipulação de dados.

O software permite que o conteúdo de comentários controlado por um invasor seja serializado em XML sem validar ou neutralizar sequências de quebra de comentário. Isso ocorre durante o fluxo de construção e serialização do DOM para nós de comentário quando a função `createComment()` é chamada; a string fornecida é armazenada como está e, posteriormente, concatenada com delimitadores de comentário XML durante a serialização. Como os comentários XML são sensíveis à sintaxe, um invasor pode fornecer uma entrada contendo uma sequência que fecha o comentário, permitindo encerrar o comentário prematuramente e injetar nós XML arbitrários na saída serializada. Isso pode permitir que um invasor altere o significado e a estrutura de documentos XML gerados, afetando fluxos de trabalho que armazenam, encaminham, assinam ou analisam o XML resultante, como documentos de configuração ou políticas.

O pacote serializa os campos do nó `DocumentType` (`internalSubset`, `publicId` e `systemId`) literalmente, sem escape ou validação. Quando esses campos são definidos programaticamente através da função `createDocumentType()` ou gravações diretas de propriedades usando strings controladas por um invasor, o método `XMLSerializer.serializeToString` pode produzir uma saída onde a declaração DOCTYPE é encerrada prematuramente, permitindo que marcações arbitrárias apareçam fora dela. Especificamente, a injeção de `]>` no `internalSubset` ou `>` no `systemId` pode fechar o DOCTYPE precocemente, enquanto a manipulação do `publicId` pode quebrar o contexto de aspas para injetar entradas SYSTEM falsas. Isso pode levar a ataques do tipo XXE se analisadores XML subsequentes reprocessarem a saída com a expansão de entidades habilitada.

O software permite que dados de instrução de processamento (PI) controlados por um invasor sejam serializados em XML sem validar ou neutralizar a sequência de fechamento de PI `?>`. Isso ocorre porque a função `createProcessingInstruction()` armazena a variável `data` diretamente sem validação, e o serializador subsequentemente concatena esses dados literalmente. Um invasor pode usar a sequência `?>` para encerrar a instrução de processamento prematuramente e injetar nós XML arbitrários na saída serializada, podendo alterar a estrutura e o significado dos documentos XML gerados.