Yoff

**Name of the Vulnerable Software and Affected Versions** mechanize versions prior to 0.4.6 **Description** The mechanize library, used for automatically interacting with HTTP web servers, contains a regular expression vulnerable to regular expression denial of service (ReDoS). If a web server responds maliciously, mechanize could crash. **Recommendations** For versions prior to 0.4.6, update to version 0.4.6 to resolve the issue. As a temporary workaround, consider restricting interactions with potentially malicious web servers until the patch is applied.

**Nome do software vulnerável e versões afetadas** Versões do Zulip anteriores à 4.7 **Descrição** O Zulip é um servidor de chat em equipe de código aberto que permite aos administradores da organização configurar “linkifiers”, os quais criam automaticamente links a partir de mensagens enviadas pelos usuários, detectadas por meio de expressões regulares arbitrárias. Administradores mal-intencionados da organização poderiam sujeitar o servidor a um ataque de negação de serviço (DoS) por meio de ataques de complexidade de expressões regulares, configurando uma expressão regular de tempo quadrático em um linkifier e enviando mensagens que a explorassem. A expressão regular tentava analisar as expressões regulares fornecidas pelo usuário para verificar se estavam a salvo de ReDoS, mas isso era insuficiente e, por si só, sujeito a ReDoS se o administrador da organização inserisse uma expressão regular inválida suficientemente complexa. **Recomendações** Para versões anteriores à 4.7, atualize para o Zulip 4.7 recém-lançado ou mude para o ramo `main` para resolver o problema. Como solução temporária, considere restringir a capacidade dos administradores da organização de configurar linkifiers até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões 0.4.0 a 0.4.1 do sqlparse **Descrição** O problema está relacionado a uma vulnerabilidade de negação de serviço (DoS) em expressões regulares no módulo sqlparse para Python. A expressão regular pode causar um backtracking exponencial em strings que contenham muitas repetições de `r ` em comentários SQL. Isso afeta o recurso de formatação que remove comentários de instruções SQL. **Recomendações** Para as versões 0.4.0 e 0.4.1 do sqlparse, como solução alternativa, não utilize a função `sqlformat.format` com a palavra-chave `strip comments=True` nem o sinalizador de linha de comando `--strip-comments` ao usar a ferramenta de linha de comando `sqlformat`. Para as versões 0.4.0 e 0.4.1 do sqlparse, atualize para o sqlparse 0.4.2 para corrigir o problema.