Base de CVEs

Uma vulnerabilidade no @fastify/middie nas versões < 9.2.0 pode resultar em bypass de autenticação/autorização ao usar middleware com escopo de caminho (por exemplo, app.use('/secret', auth)). Quando as opções de normalização do roteador Fastify estão habilitadas (como ignoreDuplicateSlashes, useSemicolonDelimiter e comportamentos relacionados a barra final), caminhos de requisição elaborados podem contornar as verificações do middleware enquanto ainda são roteados para handlers protegidos.

Vulnerabilidade de validação imprópria de entrada (Improper Input Validation) em Centreon Centreon Open Tickets em Central Server no Linux (módulos Centreon Open Tickets). Este problema afeta o Centreon Open Tickets em Central Server: de todas as versões anteriores a 25.10; 24.10;24.04.

Caddy é uma plataforma de servidor extensível que usa TLS por padrão. Antes da versão 2.11.1, a lógica de divisão de caminho FastCGI do Caddy calcula o índice de divisão em uma cópia em minúsculas do caminho da requisição e depois usa esse índice de byte para fatiar o caminho original. Isso é inseguro para Unicode porque strings.ToLower() pode alterar o tamanho em bytes UTF-8 de alguns caracteres. Como resultado, o Caddy pode derivar SCRIPT_NAME/SCRIPT_FILENAME e PATH_INFO incorretos, potencialmente fazendo com que uma requisição que contenha .php execute um arquivo diferente no disco do que o pretendido (confusão de caminho). Em configurações nas quais um atacante pode controlar o conteúdo de arquivos (por exemplo, recursos de upload), isso pode levar à execução não intencional de PHP em arquivos que não são .php (potencial RCE, dependendo da implantação). A versão 2.11.1 corrige o problema.