Bilerden

**Nome do Software Vulnerável e Versões Afetadas** protobufjs versões anteriores a 7.6.5 protobufjs versões anteriores a 8.6.6 **Description** O protobufjs compila definições protobuf em funções JavaScript. O software analisa nomes de opções avançando pelos tokens do esquema até encontrar um token = sem verificar o fim da entrada. Consequentemente, um esquema .proto especialmente criado que abre uma declaração de opção e termina prematuramente pode fazer com que as funções `parse()`, `Root.load()` ou `Root.loadSync()` entrem em loop indefinidamente. **Recommendations** Atualize o protobufjs para a versão 7.6.5 ou posterior. Atualize o protobufjs para a versão 8.6.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Nokogiri versões anteriores a 1.19.4 **Descrição** Na implementação JRuby, a opção de análise `NONET` — ativada por padrão para `Nokogiri::XML::Schema` — não era aplicada corretamente. Isso permite que um esquema analisado com as opções padrão busque recursos externos pela rede, o que pode levar a ataques de Server-Side Request Forgery (SSRF) ou XML External Entity (XXE). SSRF é uma técnica onde um invasor induz um servidor a fazer requisições para um local não pretendido, e XXE é um ataque que interfere no processamento de entrada XML de uma aplicação. **Recomendações** Atualizar para a versão 1.19.4.

**Nome do Software Vulnerável e Versões Afetadas** CarrierWave versões anteriores a 2.2.7 CarrierWave versões anteriores a 3.1.3 **Description** CarrierWave é um framework utilizado para upload de arquivos em aplicações Ruby. A verificação `content type denylist` falha ao escapar metacaracteres de regex em entradas de string, fazendo com que a denylist não corresponda silenciosamente aos tipos de conteúdo que deveria bloquear. Na função `denylisted content type()`, as entradas da denylist são interpoladas diretamente em uma expressão regular sem o uso de `Regexp.quote` ou ancoragem. Por exemplo, uma entrada como `image/svg+xml` é tratada como um padrão onde o caractere `+` é interpretado como um quantificador em vez de um caractere literal, impedindo a correspondência com o tipo MIME real. Outros tipos de conteúdo que contêm metacaracteres de regex, como `application/xhtml+xml`, também são afetados. Isso permite que um invasor faça o upload de arquivos, como arquivos SVG contendo JavaScript arbitrário, o que pode levar a Cross-Site Scripting (XSS) armazenado se a aplicação servir o arquivo inline a partir de sua própria origem. **Recommendations** Atualize para a versão 2.2.7 para usuários no branch 2.x. Atualize para a versão 3.1.3 para usuários no branch 3.x. Como medida paliativa temporária, restrinja o uso do recurso `content type denylist` até que o software seja atualizado.