Aest3Ra

**Nome do Software Vulnerável e Versões Afetadas** Starlette (versões afetadas não especificadas) FastAPI (versões afetadas não especificadas) **Descrição** Um problema de Negação de Serviço (DoS) existe na função `request.form()` ao processar requisições `application/x-www-form-urlencoded`. Enquanto os limites de `max fields` e `max part size` são aplicados para `multipart/form-data`, eles são ignorados para corpos codificados em URL. Isso permite que um invasor não autenticado cause exaustão de recursos de duas maneiras: enviando um grande número de campos (por exemplo, 1.000.000 de campos), o que bloqueia o loop de eventos do worker e consome CPU, ou enviando um único campo muito grande, o que força a alocação de memória ilimitada. **Recomendações** Atualize para uma versão corrigida do Starlette e FastAPI para garantir que `max fields` e `max part size` sejam aplicados aos analisadores de URL codificada. Como medida paliativa temporária, restrinja o tamanho do corpo da requisição através de um proxy reverso para reduzir o risco de exaustão de memória, embora isso possa não evitar totalmente o bloqueio do loop de eventos.

**Nome do Software Vulnerável e Versões Afetadas** Netty versões anteriores a 4.1.133.Final Netty versões anteriores a 4.2.13.Final **Descrição** A validação da linha de requisição pode ser ignorada quando um `DefaultHttpRequest` ou `DefaultFullHttpRequest` é criado e seu URI é posteriormente modificado usando a função `setUri()`. Embora os construtores rejeitem caracteres CRLF (Carriage Return Line Feed) e espaços em branco para evitar a corrupção da linha inicial, o `setUri()` não realiza essa validação. Consequentemente, o `HttpRequestEncoder` e o `RtspEncoder` escrevem o URI na linha de requisição literalmente. Se uma entrada controlada por um invasor for passada para `setUri()`, isso permite a injeção de CRLF e a inserção de requisições HTTP ou RTSP adicionais. Isso pode levar ao contrabando de requisições HTTP (HTTP request smuggling), dessincronização no lado HTTP e injeção de requisições no lado RTSP. **Recomendações** Atualize para a versão 4.1.133.Final ou posterior. Atualize para a versão 4.2.13.Final ou posterior. Como medida paliativa temporária, evite usar a função `setUri()` com entradas controladas por invasores.

**Name of the Vulnerable Software and Affected Versions** NiceGUI versions prior to 3.9.0 **Description** NiceGUI’s `app.add media file()` and `app.add media files()` functions are susceptible to a flaw where a user-controlled query parameter, passed to the range-response implementation without validation, can bypass chunked streaming. This allows an attacker to force the server to load entire files into memory. With large media files and concurrent requests, this can lead to excessive memory consumption, degraded performance, or denial of service. The vulnerable functions are used for serving media content. The parameter is passed to the `range-response` implementation. **Recommendations** Upgrade to NiceGUI version 3.9.0 or later. As a workaround, restrict access to media endpoints. As a workaround, strip unexpected query parameters at a reverse proxy layer.