Vulnerabilidades

### Impacto Cuando esta librería se utiliza para deserializar datos de un paquete de mensajes de una fuente no confiable, existe el riesgo de un ataque de denegación de servicio por parte de un atacante que envía datos diseñados para producir colisiones de hash, lo que lleva a un gran consumo de CPU desproporcionado al tamaño de los datos que se deserializan. Esto es similar a [un aviso anterior](https://github.com/MessagePack-CSharp/MessagePack-CSharp/security/advisories/GHSA-7q36-4xx7-xcxf), que proporcionó una solución inadecuada para la parte de colisión de hash de la vulnerabilidad. ### Parches Se requieren los siguientes pasos para mitigar este riesgo. 1. Actualice a una versión de la librería donde haya una solución disponible. 1. Revise los pasos en [este aviso anterior](https://github.com/MessagePack-CSharp/MessagePack-CSharp/security/advisories/GHSA-7q36-4xx7-xcxf) para asegurarse de que su aplicación esté configurada para datos no confiables. ### workarounds Si actualizar MessagePack a una versión parcheada no es una opción para usted, puede aplicar un workaround manual de la siguiente manera: 1. Declare una clase que derive de `MessagePackSecurity`. 2. Anule el método `GetHashCollisionResistantEqualityComparer` para proporcionar una función hash resistente a colisiones propia y evitar llamar a `base.GetHashCollisionResistantEqualityComparer()`. 3. Configure `MessagePackSerializerOptions` con una instancia de su tipo derivado llamando a `WithSecurity` en un objeto de opciones existente. 4. Utilice su objeto de opciones personalizado para todas las operaciones de deserialización. Esto puede hacerse configurando la propiedad estática `MessagePackSerializer.DefaultOptions`, si llama a métodos que dependen de esta propiedad predeterminada, y/o pasando el objeto de opciones explícitamente a cualquier método `Deserialize`. ### Referencias: Obtenga más información sobre las mejores prácticas de seguridad al leer datos no confiables con [MessagePack 1.x](https://github.com/MessagePack-CSharp/MessagePack-CSharp/tree/v1.x#security) o [MessagePack 2.x](https://github.com/MessagePack-CSharp/MessagePack-CSharp#security). - El equipo .NET [discusión sobre las vulnerabilidades de colisión de hash de su estructura `HashCode`](https://github.com/GrabYourPitchforks/runtime/blob/threat_models/docs/design/security/System.HashCode.md). ### Para obtener más información Si tiene alguna pregunta o comentario sobre este aviso: * [Inicie una discusión pública](https://github.com/MessagePack-CSharp/MessagePack-CSharp/discussions) * [Envíenos un correo electrónico privado](mailto:andrewarnott@live.com)

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en VillaTheme CURCY permite XSS reflejado. Este problema afecta a CURCY: desde n/a hasta 2.2.3.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en VillaTheme Email Template Customizer para WooCommerce permite XSS almacenado. Este problema afecta a Email Template Customizer para WooCommerce: desde n/a hasta 1.2.5.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Weblizar Lightbox slider – Responsive Lightbox Gallery permite XSS almacenado. Este problema afecta a Lightbox Slider – Responsive Lightbox Gallery: desde n/a hasta 1.10.0.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en NinjaTeam Click to Chat – WP Support All-in-One Floating Widget permite XSS almacenado. Este problema afecta a Click to Chat – WP Support All-in-One Floating Widget: desde n/a hasta 2.3.3.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en dFactory Responsive Lightbox permite XSS almacenado. Este problema afecta a Responsive Lightbox: desde n/a hasta 2.4.8.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en TipTopPress Hyperlink Group Block permite XSS almacenado. Este problema afecta al bloque de grupo de hipervínculos: desde n/a hasta 1.17.5.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en CodeAstrology Team UltraAddons Elementor Lite permite XSS almacenado. Este problema afecta a UltraAddons Elementor Lite: desde n/a hasta 1.1.8.

Vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en omnipressteam Omnipress permite XSS almacenado. Este problema afecta a Omnipress: desde n/a hasta 1.4.3.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en NicheAddons Events Addon for Elementor permite XSS almacenado. Este problema afecta al complemento NicheAddons Events para Elementor: desde n/a hasta 2.2.0.

Vulnerabilidad de neutralización inadecuada de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Themis Solutions, Inc. Clio Grow permite XSS reflejado. Este problema afecta a Clio Grow: desde n/a hasta 1.0.2.

La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en wepic Country Flags para Elementor permite XSS almacenado. Este problema afecta a Country Flags para Elementor: desde n/a hasta 1.0.1.