Thureinoo

Existe um problema onde um invasor pode desencadear cross-site scripting (XSS) armazenado ao criar um arquivo com um payload HTML em seu nome. Isso ocorre quando um usuário navega por um diretório servido com `MG ENABLE DIRLIST`. A função `printdirentry()`, chamada por `listdir()` em `src/http.c`, codifica a URL do href, mas insere o nome do arquivo do sistema de arquivos bruto no texto do link HTML. Consequentemente, o navegador executa a marcação injetada na origem do Mongoose, podendo expor dados de sessão ou permitir ações como a vítima.

Existe um problema no servidor web embarcado e biblioteca de rede onde um invasor que controle um arquivo com SSI habilitado pode usar sequências de traversal de diretório em uma diretiva #include file ou #include virtual. Isso ocorre porque a função `mg ssi()` em src/ssi.c concatena o argumento da diretiva em um caminho do sistema de arquivos sem utilizar a função `mg path is sane()`. Consequentemente, implantações usando MG ENABLE SSI com ssi pattern configurado podem expor arquivos legíveis pelo processo do Mongoose.

Um invasor remoto não autenticado pode enviar uma solicitação HTTP contendo os cabeçalhos Content-Length e Transfer-Encoding: chunked. As verificações `cl count` e `te count` nas funções `mg http parse()` e `http cb()` em src/http.c aceitam ambos os cabeçalhos, mas priorizam a codificação chunked. Se um proxy reverso preferir Content-Length, ocorre uma dessincronização CL.TE, permitindo que o invasor injete solicitações que acessem ou modifiquem recursos no contexto de outro usuário. A dessincronização CL.TE é um tipo de request smuggling onde os servidores de front-end e back-end divergem sobre onde termina uma solicitação.

Um invasor remoto pode inserir um retorno de carro ou alimentação de linha isolados em entradas multipart processadas pela função `mg http next multipart()` em src/http.c. A lógica utilizada para comparar caracteres nos loops falha devido a uma condição AND incorreta, fazendo com que o processo pare quando qualquer caractere se assemelhe a parte de um terminador CRLF (Carriage Return Line Feed). Isso resulta no truncamento de limites, nomes de arquivos ou cabeçalhos, o que pode levar uma aplicação a aceitar conteúdo malicioso ao confiar em um valor de Content-Type enganoso.

Um problema de cross-site scripting refletido ocorre quando o recurso `MG ENABLE DIRLIST` está habilitado. Um invasor remoto pode enviar um caminho de solicitação codificado em percentual para um usuário, que é então processado pelas funções `mg http serve dir()` e `listdir()` em `src/http.c`. Essas funções inserem a URI de solicitação decodificada nos elementos HTML title e h1 sem a devida codificação de entidades HTML. Isso permite a execução de scripts maliciosos na origem do Mongoose, podendo expor dados de sessão ou permitir a realização de ações em nome da vítima.

Um atacante remoto não autenticado pode explorar uma implantação de proxy reverso HTTP/1.0 enviando uma requisição com `Transfer-Encoding: chunked` e enquadramento conflitante. A função `http cb()` em `src/http.c` contém um erro de lógica onde testa `hm.proto.len` com uma condição impossível de ser maior que oito, apesar de `mg http parse()` exigir uma string de protocolo de oito bytes. Isso impede que `is http 1 0` seja definido, fazendo com que o Mongoose processe a codificação chunked que um proxy HTTP/1.0 pode ignorar. Essa discrepância permite o contrabando de requisições (request smuggling), o que pode levar a acesso não autorizado ou alterações de estado.