Zolbooo

Um problema de path-traversal ocorre quando um objeto não-string especialmente criado é passado para a função `moment.locale()`. A proteção interna assume que a entrada é uma string; no entanto, um objeto com um método `match()` que satisfaça a verificação e um método `toString()` que retorne um caminho de travessia pode alcançar uma chamada interna `require()` com segmentos de caminho controlados por um atacante. Isso afeta principalmente usuários de npm no lado do servidor que passam entradas fornecidas pelo usuário diretamente para a função.

O software expõe o pool de Buffer compartilhado do Node.js para código em sandbox. Isso permite que o código em sandbox adquira ArrayBuffers de pequenas alocações para ler e escrever em buffers do reino do host. Este problema pode levar à divulgação de memória do host usada por `Buffer.from`, `Buffer.concat` e alocações relacionadas, resultando na exposição de dados sensíveis e potencial negação de serviço.

Existe um escape de sandbox ao ser executado no Node.js 26. O problema ocorre porque `WebAssembly.compileStreaming` e `WebAssembly.instantiateStreaming` podem produzir uma Promise de realm do host bruta que é rejeitada com um objeto de erro de realm do host. Ao controlar `Symbol.species` via `Promise.prototype.finally`, o código do sandbox pode obter esse erro bruto do host, navegar do construtor de erro do host para o construtor de Function do host e recuperar o objeto `process` do host. Isso permite que o invasor obtenha capacidades do Node.js do host, como acesso a módulos do host como `fs`, dentro do processo que executa o sandbox. Este escape é possível usando um sandbox `new VM()` padrão e não requer NodeVM, permissões de require, injeção de objetos do host ou qualquer configuração insegura.

Um usuário autenticado com permissões para criar e executar fluxos de trabalho pode realizar um escape de sandbox no nó de Código JavaScript. Isso ocorre porque a sandbox da VM não congela o `Function.prototype`, permitindo que o usuário o polua durante a execução e recupere uma referência ao `globalThis` do host. A execução bem-sucedida desta cadeia de exploração depende de módulos específicos estarem configurados como importações permitidas (allowlisted) na implantação.

O n8n é uma plataforma de automação de fluxo de trabalho de código aberto. Existe uma falha na qual um usuário autenticado com permissões de criação ou modificação de fluxos de trabalho pode explorar expressões manipuladas dentro dos parâmetros do fluxo de trabalho para acionar a execução de comandos arbitrários do sistema no sistema host. Esta vulnerabilidade contorna correções anteriores e permite a execução remota de código, potencialmente levando ao roubo de credenciais e ao comprometimento completo do sistema host. Webhooks públicos podem ser explorados para disparar execução remota.

Lodash versions 4.17.23 and earlier are susceptible to prototype pollution through the ` .unset` and ` .omit` functions. The initial fix did not fully address the issue, as an attacker can bypass the check by using array-wrapped path segments. This allows for the deletion of properties from built-in prototypes like Object.prototype, Number.prototype, and String.prototype. The issue allows deletion of prototype properties but does not permit overwriting their original behavior.