Mprogrammer

**Nome do software vulnerável e versões afetadas** Versões do Django 4.2 a 4.2.15 Versões do Django 5.0 a 5.0.8 Versões do Django 5.1 a 5.1.0 **Descrição** Os filtros de modelo `urlize()` e `urlizetrunc()` estão sujeitos a um potencial ataque de negação de serviço por meio de entradas muito grandes com uma sequência específica de caracteres. Essa vulnerabilidade pode ser explorada por um invasor para causar uma negação de serviço. **Recomendações** Versões do Django 4.2 a 4.2.15: atualize para a versão 4.2.16. Versões do Django 5.0 a 5.0.8: atualize para a versão 5.0.9. Versões do Django 5.1 a 5.1.0: atualize para a versão 5.1.1. Como solução temporária, considere desativar as funções `urlize()` e `urlizetrunc()` até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Django 4.2 a 4.2.14 Versões do Django 5.0 a 5.0.7 **Descrição** O problema está relacionado aos filtros de modelo `urlize()` e `urlizetrunc()` no Django, que podem estar sujeitos a um potencial ataque de negação de serviço por meio de entradas muito grandes com uma sequência específica de caracteres. Isso pode ser explorado por um invasor remoto para causar uma negação de serviço. A vulnerabilidade está associada a uma incompatibilidade nos parâmetros de comprimento dos dados de entrada. Foi paga uma recompensa de US$ 2.162 pela descoberta deste problema. **Recomendações** Para as versões 4.2 a 4.2.14 do Django, atualize para a versão 4.2.15 ou posterior. Para as versões 5.0 a 5.0.7 do Django, atualize para a versão 5.0.8 ou posterior. Como solução temporária, considere restringir o uso dos filtros de modelo `urlize()` e `urlizetrunc()` até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Django 4.2 a 4.2.13 Versões do Django 5.0 a 5.0.6 **Descrição** O problema está relacionado à função `get supported language variant()` no Django, que pode estar sujeita a um potencial ataque de negação de serviço quando usada com strings muito longas contendo caracteres específicos. Isso poderia permitir que um invasor remoto causasse uma negação de serviço. **Recomendações** Para as versões 4.2 a 4.2.13 do Django, atualize para a versão 4.2.14 ou posterior. Para as versões 5.0 a 5.0.6 do Django, atualize para a versão 5.0.7 ou posterior. Como solução temporária, considere restringir a entrada na função `get supported language variant()` para impedir que strings muito longas sejam processadas.

**Nome do software vulnerável e versões afetadas** Versões da gem REXML anteriores à 3.3.3 **Descrição** A gem REXML apresenta algumas vulnerabilidades de DoS ao analisar um XML que contenha muitos caracteres específicos, como caracteres de espaço em branco, `&gt;` e `]&gt;`, ou `<`, `0` e `%>`. Essa vulnerabilidade está relacionada ao consumo descontrolado de recursos e pode ser explorada por um invasor remoto para causar uma negação de serviço. Se você precisar analisar XMLs não confiáveis, poderá ser afetado por essas vulnerabilidades. **Recomendações** Para versões da gem REXML anteriores à 3.3.3, atualize para a versão 3.3.3 ou posterior para corrigir essas vulnerabilidades. Como solução temporária, considere não analisar XMLs não confiáveis para minimizar o risco de exploração. Restringir a análise de XMLs com muitos caracteres específicos também pode ajudar a mitigar o problema.

Nome do software vulnerável e versões afetadas: Versões do REXML anteriores à 3.3.1 Versões do REXML anteriores à 3.2.7 Descrição: O problema está relacionado a vulnerabilidades de negação de serviço na gem REXML para Ruby. Ao analisar XML com muitos caracteres específicos, como `<`, `0` e `%>`, a gem pode ser afetada. Usuários que precisam analisar XMLs não confiáveis podem ser afetados por essas vulnerabilidades. Recomendações: Para versões do REXML anteriores à 3.3.1, atualize para a versão 3.3.2 ou posterior para corrigir as vulnerabilidades. Para versões do REXML anteriores à 3.2.7, atualize para a versão 3.2.7 ou posterior para corrigir a vulnerabilidade. Como solução temporária, considere evitar a análise de strings XML não confiáveis até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** Django versions 3.2 before 3.2.23 Django versions 4.1 before 4.1.13 Django versions 4.2 before 4.2.7 **Description** The issue is related to the NFKC normalization being slow on Windows, which can lead to a potential denial of service (DoS) attack via certain inputs with a very large number of Unicode characters. This affects the `django.contrib.auth.forms.UsernameField`, making it subject to exploitation. The vulnerability is related to unlimited resource allocation, which can be exploited by a remote attacker to cause a denial of service. **Recommendations** For Django versions 3.2 before 3.2.23, update to version 3.2.23 or later to resolve the issue. For Django versions 4.1 before 4.1.13, update to version 4.1.13 or later to resolve the issue. For Django versions 4.2 before 4.2.7, update to version 4.2.7 or later to resolve the issue. As a temporary workaround, consider restricting the use of the `UsernameField` in the affected versions to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Django versions 3.2 through 3.2.20 Django versions 4.1 through 4.1.10 Django versions 4.2 through 4.2.4 **Description** The issue is related to the `django.utils.encoding.uri to iri()` component of the Django web application platform, which is vulnerable to a potential denial of service (DoS) attack due to incorrect input validation. This vulnerability can be exploited by a remote attacker, allowing them to cause a denial of service. The attack is possible via certain inputs with a very large number of Unicode characters. **Recommendations** For Django versions 3.2 through 3.2.20, update to version 3.2.21 or later. For Django versions 4.1 through 4.1.10, update to version 4.1.11 or later. For Django versions 4.2 through 4.2.4, update to version 4.2.5 or later. As a temporary workaround, consider restricting the input to the `uri to iri()` function to prevent large amounts of Unicode characters.

Nome do software vulnerável e versões afetadas: Versões do REXML anteriores à 3.2.6 Versões do REXML anteriores à 3.3.1 Versões do REXML anteriores à 3.3.2 Versões do REXML anteriores à 3.3.3 Descrição: A gem REXML apresenta uma vulnerabilidade de negação de serviço ao analisar um XML que contenha muitos caracteres `<` no valor de um atributo. Aqueles que precisam analisar XMLs não confiáveis podem ser afetados por essa vulnerabilidade. Recomendações: Para versões do REXML anteriores à 3.2.6, atualize para a gem REXML 3.2.7 ou posterior. Para versões do REXML anteriores à 3.3.1, atualize para a gem REXML 3.3.2 ou posterior. Para versões do REXML anteriores à 3.3.2, atualize para a gem REXML 3.3.3 ou posterior. Como solução alternativa temporária, não analise XMLs não confiáveis.