p PatchFirst

CVE-2026-59876

CVE-2026-59876 · protobufjs: Text Format string map parsing can mutate returned map object prototype

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

protobufjs compiles protobuf definitions into JavaScript (JS) functions. From 8.2.0 until 8.6.5, the protobufjs Text Format extension parsed string-keyed map entries using ordinary property assignment, allowing a map entry with key __proto__ to change the prototype of the returned map object instead of creating an own map entry in protobufjs/ext/textformat. This issue is fixed in version 8.6.5.

CVSS 4.8 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • protobuf.js

    Версии
    • >= 8.2.0, < 8.6.5: Затронуто

    Нет опубликованного исправления

  • protobufjs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 8.2.0, < 8.6.5

    Обновитесь до 8.6.5

Первоисточники

Проверьте свой сервер →