Ljharb

**Nome do Software Vulnerável e Versões Afetadas** shell-quote versões anteriores a 1.8.5 **Description** A função `parse()` finaliza os tokens analisados usando `Array.prototype.concat` como um acumulador de redução, o que faz com que todo o array crescente seja realocado e copiado a cada iteração. Isso resulta em uma complexidade de tempo quadrática em relação ao número de tokens de entrada. Um invasor que forneça uma string controlada para qualquer caminho de código que chame `parse()` pode bloquear o loop de eventos de thread única do Node.js por um período prolongado, resultando em uma negação de serviço. Este problema afeta a disponibilidade e não permite a execução de código ou a divulgação de dados. **Recommendations** Atualizar para a versão 1.8.5.

**Nome do Software Vulnerável e Versões Afetadas** form-data versões anteriores a 2.5.6 form-data versões anteriores a 3.0.5 form-data versões anteriores a 4.0.6 **Description** O argumento `field` em `FormData#append` e a opção `filename` são concatenados literalmente no cabeçalho `Content-Disposition` sem a neutralização de caracteres de retorno de carro (CR), alimentação de linha (LF) ou aspas duplas ("). Isso permite que um invasor realize a injeção de CRLF (Carriage Return Line Feed), que é o processo de inserir caracteres especiais para manipular a estrutura de um cabeçalho HTTP. Se uma aplicação utilizar entradas não confiáveis como nome de campo ou nome de arquivo, um invasor poderá encerrar a linha do cabeçalho para injetar cabeçalhos adicionais ou contrabandear partes multipart inteiras na requisição encaminhada para um backend. Isso pode permitir que o invasor adicione ou substitua campos de formulário, como definir `is admin=true`, conforme visualizado pelo analisador downstream. **Recommendations** Atualizar para a versão 2.5.6. Atualizar para a versão 3.0.5. Atualizar para a versão 4.0.6.