Louis Pilfold

**Nome do Software Vulnerável e Versões Afetadas** Gleam versões 0.18.0 até 1.17.x **Description** A verificação insuficiente da autenticidade dos dados permite que um adversário no meio substitua conteúdos forjados de pacotes Hex durante a resolução de dependências. Embora o Gleam busque metadados de pacotes de um repositório Hex com assinatura verificada, a função `gleam cli::dependencies::lookup package` faz uma requisição subsequente a uma API Hex não assinada através de `gleam core::hex::get package release`. O sistema registra o `outer checksum` e os nomes das dependências dessa resposta JSON não assinada no `manifest.toml`, em vez de utilizar os valores dos metadados verificados. Um invasor capaz de interceptar o tráfego TLS com um certificado confiável e modificar tanto a resposta da API quanto o tarball do repositório pode fornecer um arquivo de pacote forjado com um checksum correspondente. Isso resulta na perda de integridade, pois o Gleam aceita e extrai os conteúdos forjados. Este problema afeta especificamente projetos que resolvem ou atualizam dependências Hex, como quando o manifesto está ausente ou as dependências são alteradas. **Recommendations** Atualize o Gleam para a versão 1.18.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Gleam versões 1.16.0 a 1.17.0 **Description** Um problema de path traversal existe no processamento de páginas de documentação personalizadas. As entradas `documentation.pages` no arquivo `gleam.toml` são incorporadas a caminhos do sistema de arquivos sem validação suficiente. Especificamente, o campo `documentation.pages[].path` permite a gravação de arquivos de documentação gerados fora do diretório pretendido `build/dev/docs/<package>/`, e o campo `documentation.pages[].source` permite a leitura de arquivos fora do diretório do projeto para incorporá-los na saída. Um invasor pode explorar isso convencendo uma vítima a executar `gleam docs build` em um projeto não confiável ou com conteúdo malicioso no `gleam.toml`, resultando em operações de leitura e gravação arbitrária de arquivos. **Recommendations** Atualize para uma versão posterior a 1.17.0. Evite executar `gleam docs build` em projetos não confiáveis. Revise as entradas `documentation.pages` no `gleam.toml` antes de gerar a documentação. Execute a geração de documentação em um ambiente restrito ou isolado, como containers.

**Nome do Software Vulnerável e Versões Afetadas** Gleam versões 0.10.0-rc1 até 1.17.0 **Description** Um problema de seguimento de links simbólicos (symlinks) na exportação de pacotes Hex permite que arquivos fora da raiz do projeto sejam incorporados no tarball do pacote gerado. Os auxiliares de coleta de arquivos `gleam files`, `native files` e `private files` em compiler-cli/src/fs.rs utilizam `follow links(true)` ao percorrer diretórios publicáveis, como src/ e priv/. Esses caminhos são adicionados ao arquivo do pacote via `add path to tar` em compiler-cli/src/publish.rs sem verificar se o destino resolvido permanece dentro da raiz do projeto. Um invasor com acesso de escrita ao repositório do projeto pode colocar um link simbólico em src/ ou priv/ apontando para arquivos arbitrários. Quando um mantenedor ou pipeline de CI executa os comandos "gleam publish" ou "gleam export hex-tarball", arquivos locais legíveis pelo publicador, como segredos, tokens ou chaves SSH, são silenciosamente incorporados ao artefato do pacote publicado. **Recommendations** Atualize o Gleam para uma versão posterior a 1.17.0. Evite executar "gleam publish" ou "gleam export hex-tarball" em projetos não confiáveis. Revise o conteúdo de src/ e priv/ em busca de links simbólicos inesperados antes de publicar. Execute comandos de publicação em um ambiente restrito ou isolado, como containers.

**Nome do Software Vulnerável e Versões Afetadas** Gleam versões 0.18.0-rc1 até 1.17.0 **Description** Uma falha de path traversal no sistema de gerenciamento de dependências permite a exclusão recursiva de diretórios arbitrários. Isso ocorre porque as chaves de pacotes lidas do arquivo `build/packages/packages.toml` pela função `LocalPackages::read from disc` são passadas sem validação para `paths.build packages package()`. Esse processo constrói um caminho de sistema de arquivos juntando o diretório de build do projeto com uma chave controlada por um invasor, que é então passada para `fs::delete directory` (que chama `remove dir all`). Como o sistema não verifica se o caminho permanece dentro do diretório `build/packages/` pretendido, tanto caminhos absolutos quanto sequências de travessia relativa (como `../`) podem ser usados para alvejar e excluir qualquer diretório no sistema da vítima quando o comando `gleam deps download` é executado em um projeto que contenha um arquivo de configuração malicioso. **Recommendations** Atualize o Gleam para uma versão posterior à 1.17.0.

Name of the Vulnerable Software and Affected Versions Gleam versões 1.9.0-rc1 até 1.15.3 e 1.16.0-rc1 Description Um problema de validação de caminho inadequada existe no compilador Gleam ao lidar com dependências git durante o processo de download da dependência. Nomes de dependência de `gleam.toml` e `manifest.toml` são usados para construir caminhos do sistema de arquivos sem validação suficiente, permitindo que caminhos controlados por um invasor (usando travessia relativa como '../' ou caminhos absolutos) tenham como alvo locais fora do diretório de dependência pretendido. Isso pode levar à modificação arbitrária do sistema de arquivos, incluindo exclusão e criação de diretórios, ao resolver dependências git com `gleam deps download`. Uma dependência git maliciosa pode sobrescrever diretórios arbitrários, potencialmente causando perda de dados ou, em alguns ambientes, alcançando a execução de código sobrescrevendo arquivos como hooks git ou arquivos de configuração do shell. Recommendations Evite usar dependências git não confiáveis, especialmente sem fixar em um commit SHA específico. Revise cuidadosamente as árvores de dependência, incluindo dependências git transitivas. Execute comandos de resolução de dependência em um ambiente restrito ou isolado (por exemplo, contêineres).

**Name of the Vulnerable Software and Affected Versions** gleam-wisp wisp versões 0.2.0 através de 2.2.1 **Description** gleam-wisp wisp contém uma falha na análise do corpo de formulários multipart que pode levar a uma negação de serviço. A função `multipart body` não impõe limites configurados nos tamanhos do corpo e dos arquivos. Especificamente, quando uma fronteira multipart está faltando em um bloco, o analisador anexa o bloco sem atualizar a cota, permitindo que um invasor não autenticado esgote os recursos do servidor enviando grandes envios de formulários multipart. **Recommendations** Atualize para uma versão posterior a 2.2.1.

Nome do Software Vulnerável e Versões Afetadas gleam-wisp wisp versões 2.1.1 a 2.2.0 Descrição Uma vulnerabilidade de travessia de caminho existe no gleam-wisp wisp que permite a leitura arbitrária de arquivos por meio de travessia de caminho codificada em porcentagem. A função `wisp.serve static` é suscetível porque a sanitização ocorre antes da decodificação em porcentagem. A sequência codificada `%2e%2e` contorna a substituição de strings e é então convertida para `..` pela função `uri.percent decode`, permitindo a travessia de diretórios ao ler o arquivo. Um invasor não autenticado pode ler qualquer arquivo acessível ao processo da aplicação com uma única solicitação HTTP, potencialmente incluindo código-fonte, arquivos de configuração, segredos e arquivos do sistema. Recomendações Atualize o gleam-wisp wisp para a versão 2.2.1 ou posterior.