DiceBear - это библиотека аватаров для дизайнеров и разработчиков. До версии 9.4.2 функция "sensureSize()` в `@dydebear/converter` использо…
DiceBear - это библиотека аватаров для дизайнеров и разработчиков. До версии 9.4.2 функция "sensureSize()` в `@dydebear/converter` использовала основанный на regex подходе для переписывания SVG `width`/`height` атрибутов, ограничивая их на уровне 2048px для предотвращения отказа в обслуживании. Этот размер укупорки может быть обойден путем создания ввода SVG, который заставляет регекс соответствовать нефункциональному возникновению `<svg` перед фактическим корневым элементом SVG. Когда SVG впоследствии отображается через `@resvg/resvg-js` на пути кода Node.js, он отображается на определенных на злоумышленниках измерениях, что может привести к сбоям вне памяти. В версии 9.4.2 подход, основанный на регекс, был заменен на XML-обработку с использованием `fast-xml-parser` для правильной идентификации и изменения атрибутов корневого элемента SVG. Кроме того, в призыв «renderAsync`» в качестве глубинной защиты было добавлено ограничениеfitTo`, гарантируюное, что визуализированный выход всегда ограничен независимо от контента SVG.
Продукт задаёт регулярное выражение таким образом, что данные сопоставляются или сравниваются некорректно.
https://cwe.mitre.org/data/definitions/185.html →Открыть в коллекции CWE →Злоумышленник изменяет поведение или состояние целевого приложения путём внедрения данных или синтаксиса команд через непроверяемые и нефильтруемые аргументы открытых сервисов или методов.
https://capec.mitre.org/data/definitions/6.html →Открыть в коллекции CAPEC →Атака данного типа эксплуатирует уязвимости программы, позволяющие злоумышленнику конкатенировать собственные команды с легитимными командами с целью атаки на другие ресурсы, такие как файловая система или база данных. Система, использующая фильтр или проверку входных данных на основе списка запрещённых значений, в отличие от проверки на основе разрешающего списка, уязвима для злоумышленника, способного предсказывать разделители (или их комбинации), отсутствующие в фильтре или списке запрещённых значений. Как и другие атаки внедрения, злоумышленник использует полезную нагрузку с разделителем команд в качестве точки входа для туннелирования через приложение и активации дополнительных атак посредством SQL-запросов, команд командного интерпретатора, сетевого сканирования и т. д.
https://capec.mitre.org/data/definitions/15.html →Открыть в коллекции CAPEC →Данная атака направлена на кодирование символов слеша. Злоумышленник пытается эксплуатировать распространённые проблемы фильтрации, связанные с использованием символов слеша, для получения доступа к ресурсам на целевом хосте. Системы на основе каталогов, такие как файловые системы и базы данных, как правило, используют символ слеша для обозначения перехода между каталогами или другими контейнерными компонентами. По неоднозначным историческим причинам ПК (и, как следствие, ОС Microsoft) используют обратный слеш, тогда как мир UNIX традиционно применяет прямой слеш. Шизофренический результат таков, что многие MS-системы обязаны понимать обе формы слеша. Это предоставляет злоумышленнику множество возможностей для обнаружения и использования распространённых проблем фильтрации. Цель данного шаблона — обнаружить серверное программное обеспечение, применяющее фильтры только к одному варианту, но не другому.
https://capec.mitre.org/data/definitions/79.html →Открыть в коллекции CAPEC →