Cristian-Alexandru Staicu

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 5.3.3 Versões do Parse Server anteriores à 4.10.20 **Descrição** Um endpoint de destino do Webhook do Parse Server Cloud Code comprometido permite que um invasor use a técnica de “prototype pollution” para contornar a opção `requestKeywordDenylist` do Parse Server. Esta vulnerabilidade afeta o Parse Server, um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. **Recomendações** Para versões anteriores à 5.3.3, atualize para a versão 5.3.3 ou posterior. Para versões anteriores à 4.10.20, atualize para a versão 4.10.20 ou posterior. Como solução alternativa temporária, considere restringir o acesso ao endpoint de destino do Cloud Code Webhook até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.19 Versões do Parse Server anteriores à 5.3.2 **Descrição** A vulnerabilidade permite que palavras-chave especificadas na opção `requestKeywordDenylist` sejam injetadas por meio de Webhooks ou Triggers do Cloud Code, fazendo com que a palavra-chave seja salva no banco de dados e contorne a opção `requestKeywordDenylist`. Isso pode ser explorado por meio de solicitações à API do Cloud Code Webhooks. Para mitigar isso, pode ser útil configurar o firewall para permitir que apenas servidores confiáveis façam solicitações à API do Parse Server Cloud Code Webhooks ou bloquear completamente a API se ela não estiver em uso. **Recomendações** Para versões anteriores à 4.10.19, atualize para a versão 4.10.19 ou posterior. Para versões anteriores à 5.3.2, atualize para a versão 5.3.2 ou posterior. Como solução alternativa temporária, considere configurar seu firewall para permitir que apenas servidores confiáveis façam solicitações à API Parse Server Cloud Code Webhooks ou bloquear a API completamente se você não estiver usando o recurso.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.18 Versões do Parse Server anteriores à 5.3.1 na ramificação 5.X **Descrição** O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Um invasor pode usar um protótipo de poluição de sink para acionar a execução remota de código por meio do analisador BSON do MongoDB. Esta vulnerabilidade foi corrigida nas versões 5.3.1 e 4.10.18. **Recomendações** Para versões anteriores à 4.10.18, atualize para a versão 4.10.18 ou posterior. Para versões anteriores à 5.3.1 na ramificação 5.X, atualize para a versão 5.3.1 ou posterior. Como solução alternativa temporária, considere desativar a execução remota de código por meio do analisador BSON do MongoDB até que uma correção esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do deep-get-set anteriores àquela que contém uma correção completa para o problema **Descrição** O problema está relacionado à contaminação de protótipos (Prototype Pollution) por meio da função `deep` no pacote deep-get-set. Esse problema decorre de uma correção incompleta de uma falha anterior. **Recomendações** Para todas as versões do deep-get-set, considere desativar a função `deep` como uma solução temporária até que uma correção completa esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Nome do software vulnerável e versões afetadas** fast-string-search (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma leitura fora dos limites, causada pela liberação incorreta de memória e pelo cálculo incorreto do comprimento de entradas que não sejam strings. Isso permite que um invasor leia a memória previamente alocada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** fast-string-search (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma negação de serviço (DoS) quando os cálculos são incorretos para entradas que não sejam strings. Isso pode fazer com que o V8 tente ler de locais não permitidos, resultando em uma falha de segmentação devido à violação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do @discordjs/opus anteriores à 0.8.0 **Descrição** O problema está relacionado a uma condição de Negação de Serviço (DoS) que ocorre ao tentar codificar usando um codificador com zero canais ou um buffer não inicializado, levando a uma falha grave. Isso se deve ao tratamento inadequado de erros, que faz com que o aplicativo trave em vez de retornar o erro ao usuário. **Recomendações** Para versões anteriores à 0.8.0, atualize para a versão 0.8.0 ou posterior para resolver o problema, pois essa versão retorna os erros corretamente ao usuário em vez de causar uma falha grave.

**Nome do software vulnerável e versões afetadas** mout (versões afetadas não especificadas) **Descrição** O problema diz respeito às funções `deepFillIn` e `deepMixIn`, que podem ser exploradas devido à falta de verificações de chaves ao acessar o objeto de destino de forma recursiva. Isso permite a exploração da vulnerabilidade. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do pg-native anteriores à 3.0.1 Versões do libpq anteriores à 1.8.10 **Descrição** O problema está relacionado a uma condição de Negação de Serviço (DoS) que ocorre quando os complementos tentam converter o segundo argumento em uma matriz e falham. Isso acontece para cada argumento que não seja uma matriz que seja passado. O problema foi encontrado no pg-native, que é uma ligação à biblioteca libpq do npm, e pode afetar transitivamente a libpq do npm. **Recomendações** Para versões do pg-native anteriores à 3.0.1, atualize para a versão 3.0.1 ou posterior para resolver o problema. Para versões do libpq anteriores à 1.8.10, atualize para a versão 1.8.10 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da biblioteca `libpq` vulnerável até que um patch esteja disponível. Evite usar argumentos que não sejam matrizes nos pontos de extremidade da API afetados até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** querymen (versões afetadas não especificadas) **Descrição** O problema decorre da função `handler(type, name, fn)`, na qual os parâmetros podem ser controlados pelos usuários sem a devida sanitização, levando à contaminação de protótipos. Isso é resultado de uma correção incompleta de um problema anterior. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 0.0.0 e posteriores do sds **Descrição** A vulnerabilidade permite que a biblioteca seja induzida a adicionar ou modificar propriedades do `Object.prototype`. Isso é feito através do uso indevido da função `set`, localizada em `js/set.js`. **Recomendações** Para a versão 0.0.0 do sds, considere restringir o acesso à função `set` em `js/set.js` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** bignum (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma negação de serviço (DoS) causada por uma exceção de verificação de tipo no V8. Ao verificar o tipo do segundo argumento da função `powm`, o V8 entra em falha, independentemente dos blocos try/catch do Node. Isso ocorre devido a um problema na verificação de tipo do segundo argumento da função `powm`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do `jailed` (versões afetadas não especificadas) **Descrição** O problema diz respeito a uma falha de segurança que permite contornar a sandbox (sandbox bypass) e que pode ser explorada por meio de um método `alert()` exportado. Esse método pode acessar o aplicativo principal, representando um risco. Os métodos exportados estão armazenados no objeto `application.remote`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Todas as versões do libxmljs **Descrição** O problema ocorre quando a função `libxmljs.parseXml` é chamada com um argumento que não seja um buffer. Nesses casos, o código do V8 tenta chamar o método `toString` do argumento. Se o valor `toString` do argumento não for um objeto Function, o V8 irá travar. Este é um problema relacionado ao pacote libxmljs, que fornece ligações libxml para o mecanismo JavaScript V8. **Recomendações** Para todas as versões do libxmljs, como solução temporária, considere evitar o uso da função `libxmljs.parseXml` com argumentos que não sejam buffers até que um patch esteja disponível. Restrinja o acesso a essa função para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 5.0.0 a 5.0.2 do sqlite3 **Descrição** A vulnerabilidade está relacionada a um consumo descontrolado de recursos no componente V8 do sistema de gerenciamento de banco de dados SQLite, o que pode levar a uma negação de serviço (DoS). A exploração desse problema pode causar a falha do aplicativo quando um objeto específico é fornecido na matriz de parâmetros. O erro não pode ser interceptado e resultará em um erro fatal. A função `toString` do parâmetro passado é invocada e, se um objeto Function inválido for passado, ela lançará uma exceção e causará a falha do mecanismo V8. **Recomendações** Para as versões 5.0.0, 5.0.1 e 5.0.2, atualize para a versão 5.0.3 ou posterior para resolver a vulnerabilidade. Como solução temporária, certifique-se de que haja sanitização suficiente no aplicativo pai para proteger contra valores inválidos sendo fornecidos aos parâmetros de ligação.

**Nome do software vulnerável e versões afetadas** Versões do convict anteriores à 6.2.2 **Descrição** A vulnerabilidade permite a contaminação de protótipos (Prototype Pollution) por meio da função convict devido à falta de validação de `parentKey`. Isso poderia permitir que um invasor injetasse atributos usados em outros componentes ou substituísse atributos existentes por tipos incompatíveis, levando potencialmente a uma falha no sistema. O principal uso do Convict é para lidar com configurações do lado do servidor e, embora seja improvável que um administrador sabote seu próprio servidor, um administrador desinformado poderia ser induzido a escrever código JavaScript malicioso nos arquivos de configuração. **Recomendações** Para versões do convict anteriores à 6.2.2, atualize para convict@6.2.3 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos arquivos de configuração para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do madlib-object-utils anteriores à 0.1.8 **Descrição** A vulnerabilidade permite que um invasor execute uma “Prototype Pollution” (contaminação de protótipos) por meio do método `setValue`, possibilitando a fusão de protótipos de objetos nele. Essa vulnerabilidade é resultado de uma correção incompleta. **Recomendações** Para versões anteriores à 0.1.8, atualize para a versão 0.1.8 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do método `setValue` até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** todas as versões do notevil todas as versões do argencoders-notevil **Descrição** O problema está relacionado a uma fuga da sandbox (Sandbox Escape) que leva à contaminação de protótipos (Prototype pollution). O pacote não consegue restringir o acesso ao contexto principal, permitindo que um invasor adicione ou modifique o protótipo de um objeto. Essa vulnerabilidade decorre de uma correção incompleta. O pacote notevil e sua variante argencoders-notevil foram afetados, sendo que esta última está obsoleta. **Recomendações** Para todas as versões do notevil, considere restringir o acesso ao contexto principal para evitar a contaminação de protótipos. Para todas as versões do argencoders-notevil, como o pacote está obsoleto, recomenda-se evitar seu uso e considerar soluções alternativas para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** bodymen versões 0.0.0 e posteriores **Descrição** A vulnerabilidade permite a contaminação de protótipos (Prototype Pollution) por meio da função `handler`, que pode ser induzida a adicionar ou modificar propriedades de `Object.prototype` usando uma carga útil ` proto `. **Recomendações** Para as versões 0.0.0 e posteriores do bodymen, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do libnested anteriores à 1.5.2 **Descrição** O problema está relacionado à contaminação de protótipos (Prototype Pollution) por meio da função `set` no arquivo `index.js`. **Recomendações** Para versões anteriores à 1.5.2, atualize para a versão 1.5.2 ou posterior para resolver o problema.