The-Vibe-Dev

**Nome do Software Vulnerável e Versões Afetadas** simple-git versões anteriores a 4.0.0 **Description** O `blockUnsafeOperationsPlugin` padrão compara os nomes das opções analisadas com grafias literais de opções perigosas, porém o Git aceita abreviações não ambíguas de opções longas. Isso permite que argumentos de push influenciados por atacantes, como formas abreviadas de `--receive-pack` ou `--exec`, ignorem a função `detectVulnerableFlags`. Consequentemente, o Git pode invocar um comando selecionado pelo atacante quando esses argumentos são passados para um remoto local ou de arquivo, ou para um alvo de receive-pack influenciado pelo atacante. **Recommendations** Atualize para a versão 4.0.0.

**Nome do Software Vulnerável e Versões Afetadas** PyJWT versões 2.13.0 through 2.13.x **Description** A função `HMACAlgorithm.prepare key()` é afetada porque a guarda de chave HMAC reconhece apenas formas públicas de JSON Web Key (JWK) de nível superior e ignora representações de contêiner. Isso ocorre quando uma aplicação permite algoritmos HMAC e assimétricos e passa um contêiner JWK público como a chave bruta, resultando na aceitação de material de chave assimétrica pública como o segredo HMAC. Um invasor que conheça a chave pública pode explorar isso para forjar tokens com reivindicações autenticadas arbitrárias. **Recommendations** Atualizar para a versão 2.14.0.

**Nome do Software Vulnerável e Versões Afetadas** vm2 versões 3.9.6 até 3.11.6 **Descrição** Um bypass na lista de permissões de builtins do NodeVM permite a fuga de sandbox no Node.js 24 e versões posteriores quando o incorporador permite explicitamente o builtin `node:test`. No Node.js 24+, o `module.builtinModules` expõe a chave apenas de esquema `node:test`, que não é coberta pela proteção DANGEROUS BUILTINS baseada em família e é armazenada no carregador genérico de passagem do host. Como a função `requireImpl()` em `lib/setup-node-sandbox.js` remove um único prefixo `node:` antes da busca do builtin, o código da sandbox que chama `require('node:node:test')` resolve para a chave `node:test` armazenada e recebe um proxy somente leitura para o módulo do host. Chamadas para `node:test.run()` são encaminhadas para a implementação do host, que inicia um processo Node separado para execução de testes isolados por processo e transmite valores `execArgv` controlados pelo invasor. O fornecimento de `--eval=<JavaScript>` permite a execução de JavaScript arbitrário em um processo Node do host irrestrito fora da sandbox do NodeVM. **Recomendações** Atualize o vm2 para a versão 3.11.7. Como medida paliativa temporária, evite permitir explicitamente o builtin `node:test` na configuração de `require`.