0Xbughunter

**Nome do Software Vulnerável e Versões Afetadas** js-yaml versões anteriores a 4.2.0 **Descrição** Um documento YAML malicioso pode desencadear a exaustão algorítmica da CPU durante o processamento de chaves de mesclagem (`<<`) ao repetir o mesmo alias várias vezes em uma sequência de mesclagem. Isso resulta em um comportamento de tempo de análise quadrático em relação ao tamanho da entrada, o que pode bloquear um worker ou loop de eventos do Node.js por vários segundos, mesmo com um payload pequeno (dezenas de KB), levando a uma negação de serviço. O problema reside no tratamento de mesclagem em `lib/loader.js`, especificamente dentro da função `storeMappingPair()` e da função `mergeMappings()`. Quando um valor de mesclagem é uma sequência, o analisador processa cada elemento sem deduplicação; se várias entradas se referirem ao mesmo objeto ancorado, o analisador processa redundantemente todas as chaves para cada referência. **Recomendações** Atualize para a versão 4.2.0. Como medida paliativa temporária, restrinja o processamento de documentos YAML não confiáveis que utilizem sequências de chaves de mesclagem até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Todas as versões do html-to-csv **Descrição** O problema ocorre quando uma fórmula é incorporada em uma página HTML e é aceita sem validação, permitindo que seja inserida em um arquivo CSV durante a conversão. Isso permite que um agente mal-intencionado incorpore ou gere links maliciosos ou execute comandos por meio de arquivos CSV. **Recomendações** Para todas as versões, considere desativar a conversão de páginas HTML com fórmulas incorporadas em arquivos CSV até que um mecanismo de validação adequado seja implementado para impedir links maliciosos ou a execução de comandos. Restrinja o acesso ao recurso de geração de arquivos CSV para minimizar o risco de exploração. Evite usar o pacote html-to-csv para converter páginas HTML com fórmulas incorporadas até que o problema seja resolvido.