Vulnerabilidad en Shields.io (CVE-2024-47180)

Shields.io es un servicio para insignias concisas, consistentes y legibles en formato SVG y raster. Shields.io y los usuarios que alojan por sí mismos su propia instancia de escudos usando la versión < `server-2024-09-25` son vulnerables a una vulnerabilidad de ejecución remota a través de la librería JSONPath utilizada por las insignias Dynamic JSON/Toml/Yaml. Esta vulnerabilidad permitiría a cualquier usuario con acceso hacer una solicitud a una URL en la instancia con la capacidad de ejecutar código mediante la creación de una expresión JSONPath maliciosa. Todos los usuarios que alojan por sí mismos una instancia son vulnerables. Este problema se solucionó en server-2024-09-25. Aquellos que siguen las versiones etiquetadas deben actualizar a `server-2024-09-25` o posterior. Aquellos que siguen la etiqueta continua en DockerHub, `docker pull shieldsio/shields:next` para actualizar a la última versión. Como workaround, bloquear el acceso a los endpoints `/badge/dynamic/json`, `/badge/dynamic/toml` y `/badge/dynamic/yaml` (por ejemplo: a través de un firewall o proxy inverso frente a su instancia) evitaría que se acceda a los endpoints explotables.