Zelys-Dfkh

A função `makeCookie()` permite delimitadores de ponto e vírgula nos campos `name`, `domain` e `path`, que a função `serializeCookie()` escreve literalmente nos cabeçalhos Set-Cookie. Se um invasor conseguir controlar esses valores, poderá anexar atributos de cookie, como um `Domain` mais amplo, `SameSite=None` ou `Max-Age`. Isso pode resultar na ampliação do escopo de um cookie ou na adição de atributos que não foram originalmente pretendidos.

A biblioteca não valida adequadamente as opções `domain` e `path`, verificando-as contra um correspondente de conteúdo de campo RFC 7230 permissivo que permite pontos e vírgulas. Como esses valores são gravados no cabeçalho Set-Cookie sem escape, um aplicativo que passa dados não confiáveis ou derivados de requisições para essas opções permite a injeção de atributos Set-Cookie. Isso pode permitir que um invasor substitua atributos como `SameSite`, `Secure`, `HttpOnly` ou `Domain` nos cookies emitidos.

A função `setCookie()` não sanitiza completamente os atributos de cookies. Especificamente, o valor do domínio não é verificado quanto a pontos e vírgulas e as entradas no array não analisado não são sanitizadas. Isso permite que entradas influenciadas por atacantes injetem atributos de cookies adicionais. Por exemplo, um valor de domínio contendo um ponto e vírgula pode anexar atributos como `SameSite`, e uma entrada não analisada pode injetar atributos como `HttpOnly` sem a intenção do chamador. Aplicações que passam entradas controladas pelo usuário para esses campos, como servidores de proxy reverso ou multi-tenant que limitam cookies de sessão a domínios fornecidos pelo locatário, podem ter as proteções CSRF do SameSite ignoradas ou ter os atributos `Secure`, `HttpOnly` e `SameSite` forçados, removidos ou substituídos.