Tndud042713

Existe um problema de normalização inadequada de entrada onde o software falha ao reescrever o prefixo da requisição quando o segmento do prefixo está codificado em URL. Enquanto o roteador decodifica as URLs para a correspondência de rotas, o `request.url` mantém a forma codificada original, e o processo de reescrita utiliza uma substituição de string literal contra o prefixo decodificado. Essa divergência de codificação permite que um invasor remoto envie requisições com caracteres codificados em URL no prefixo configurado, fazendo com que o proxy corresponda à rota, mas ignore a reescrita. Consequentemente, o caminho codificado bruto é encaminhado para o servidor upstream, que então decodifica o caminho e o processa. Isso leva a um bypass completo do caminho do proxy, expondo endpoints internos ou administrativos que deveriam estar ocultos via a configuração `rewritePrefix`, podendo resultar em ações administrativas não autorizadas e exposição de dados sensíveis.

Ao analisar um cabeçalho Set-Cookie, o software aceita qualquer valor de atributo SameSite que contenha Strict, Lax ou None como uma substring, em vez de exigir uma correspondência exata insensível a maiúsculas e minúsculas, conforme especificado pela RFC 6265. Isso permite que valores fora da especificação sejam mapeados silenciosamente para tokens padrão; por exemplo, SameSite=NoneOfYourBusiness é analisado como None, e SameSite=StrictLax é analisado como Lax. Aplicativos que consomem cabeçalhos Set-Cookie via caminhos de código fetch ou proxy e dependem do atributo `sameSite` analisado podem ser coagidos por um servidor malicioso ou não compatível a aplicar uma política SameSite mais fraca, degradando a aplicação pretendida do cookie.

O analisador de cookies na função `parseSetCookie` realiza a decodificação de percentagem (percent-decode) de valores de cookies via `qsUnescape`, convertendo sequências codificadas como %0D%0A, %00, %3B e %3D em seus equivalentes de bytes literais. Este comportamento diverge da RFC 6265 §5.4 e dos padrões de navegadores, que não especificam tal decodificação. Aplicações que utilizam `parseSetCookie`, `parseCookie` ou `getSetCookies` e, posteriormente, encaminham esses valores analisados para cabeçalhos de resposta (como proxies, middlewares ou frameworks SSR) estão suscetíveis à injeção de cabeçalho de resposta HTTP. Isso permite que uma fonte upstream controlada por um invasor injete cabeçalhos Set-Cookie, Location ou Cache-Control arbitrários na resposta downstream da aplicação, possibilitando a fixação de sessão, redirecionamento aberto ou envenenamento de cache.

Um problema de Negação de Serviço (Denial of Service) existe devido à maneira como a dependência `append-field` analisa a notação de colchetes em nomes de campos em dados de formulários multipart. Como não há limite para a profundidade do aninhamento, um invasor pode enviar uma única requisição HTTP com um corpo multipart manipulado para forçar a alocação de estruturas de objetos profundamente aninhadas, resultando em consumo excessivo de CPU e memória.

Um problema de complexidade de tempo quadrática existe na regra smartquotes quando a opção `typographer: true` está habilitada. Um invasor pode fornecer uma entrada markdown contendo um grande número de aspas consecutivas, fazendo com que o analisador consuma recursos excessivos de CPU, levando a uma negação de serviço. Isso ocorre porque a função `replaceAt()` em `lib/rules core/smartquotes.mjs` modifica o `token.content` usando fatiamento e concatenação de strings para cada caractere de aspas encontrado. Como cada operação de fatiamento é O(n) e é realizada para cada uma das n aspas, a complexidade geral torna-se O(n^2).

Um problema de injeção de HTML existe no processo de renderização do lado do servidor (SSR) de JSX. Atacantes podem injetar HTML indesejado utilizando nomes de atributos malformados. Ao criar chaves de atributos que incluam caracteres como aspas ou colchetes angulares, um atacante pode quebrar os limites das tags HTML para injetar atributos ou elementos arbitrários.

Um problema de injeção de comando SMTP existe na opção de configuração `name` do transporte usada nos comandos EHLO, HELO e LHLO. O parâmetro `name` é concatenado diretamente nos comandos SMTP sem a sanitização de caracteres de retorno de carro e alimentação de linha (CRLF). Um invasor capaz de influenciar esta opção pode injetar comandos SMTP arbitrários, permitindo o envio de e-mails não autorizados, falsificação de e-mail (spoofing) e ataques de phishing. Isso ocorre no arquivo `lib/smtp-connection/index.js` durante a inicialização da conexão, onde a função ` sendCommand()` grava a string diretamente no socket.

Happy DOM is a JavaScript implementation of a web browser without its graphical user interface. Versions 15.10.0 through 20.8.7 contain a code injection issue in the `ECMAScriptModuleCompiler` component. This allows an attacker to achieve Remote Code Execution (RCE) by injecting arbitrary JavaScript expressions inside `export { }` declarations in ES module scripts processed by happy-dom. The compiler directly interpolates unsanitized content into generated code as an executable expression. The quote filter does not strip backticks, allowing template literal-based payloads to bypass sanitization.