CVE-2026-45740
CVE-2026-45740 · protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.8 and 8.2.0, protobufjs could recurse without a depth limit while expanding nested JSON descriptors through Root.fromJSON() and Namespace.addJSON(). A crafted JSON descriptor with deeply nested namespace definitions could cause the JavaScript call stack to be exhausted during descriptor loading. This vulnerability is fixed in 7.5.8 and 8.2.0.
CVSS 5.3 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
protobuf.js
- Версии
- < 7.5.8: Затронуто
- >= 8.0.0, < 8.2.0: Затронуто
Нет опубликованного исправления
protobufjs npm
- Затронутые диапазоны версий
- SEMVER: < 7.5.8
Обновитесь до 7.5.8
protobufjs npm
- Затронутые диапазоны версий
- SEMVER: ≥ 8.0.0, < 8.2.0
Обновитесь до 8.2.0