informações sobre vulnerabilidades no servidor proxy , que foram resolvidas discretamente no ano passado na versão Squid 4.8. Os problemas estão no código que processa o bloco "@" no início da URL ("user@host") e permitem contornar as regras de acesso, enviar conteúdo do cache e realizar ataques utilizando scripts entre sites.
- — o cliente, por meio de uma URL especialmente formatada, pode contornar as regras definidas pela diretiva url_regex e obter informações confidenciais sobre o proxy e o tráfego processado (acessar a interface do Cache Manager).
- — através da manipulação de informações sobre o nome de usuário na URL, é possível armazenar conteúdo fictício no cache para uma página específica, que pode, por exemplo, ser usado para executar seu próprio código JavaScript no contexto de outros sites.
Fonte: opennet.ru
