CVE-2026-41242

Podatność w bibliotece protobufjs umożliwia zapętlenie nieskończone podczas parsowania specjalnie spreparowanych plików .proto. Brak sprawdzenia końca wejścia przy przetwarzaniu opcji powoduje, że funkcje parse, Root.load lub Root.loadSync mogą działać w nieskończoność.

Podatność w bibliotece protobufjs (wersje 8.2.0 do 8.6.5) umożliwia atak typu prototype pollution poprzez parsowanie map w formacie Text Format. Atakujący może wstrzyknąć klucz mapy o nazwie __proto__, co zmienia prototyp obiektu zamiast tworzyć wpis w mapie.

Wersje protobufjs od 8.2.0 do 8.4.2 nie miały opcji do odrzucania nieznanych pól podczas dekodowania, co mogło prowadzić do nadmiernego zużycia pamięci przez dekodowane wiadomości. W wersji 8.5.0 dodano opcje umożliwiające wyłączenie zatrzymywania nieznanych pól, a w wersji 8.6.2 domyślnie odrzucane są nieznane pola.

W wersjach przed 8.6.0 i 7.6.3, protobufjs akceptował pewne nazwy pochodzące ze schematu, które mogły kolidować z właściwościami używanymi przez pomocników runtime protobufjs. To mogło prowadzić do wyjątków deterministycznych lub rekurencyjnych wywołań w różnych operacjach związanych z dekodowaniem i serializacją.

protobufjs przed wersjami 7.5.6 i 8.0.2 generuje kod JavaScript dla funkcji toObject, który może zawierać niebezpieczne wyrażenie pochodzące z domyślnej wartości pola bytes kontrolowanej przez schemat. Specjalnie spreparowany deskryptor może spowodować wykonanie kodu atakującego.

Protobufjs przed wersjami 7.5.6 i 8.0.2 nie ogranicza głębokości rekurencji podczas dekodowania zagnieżdżonych danych protobuf. Specjalnie spreparowany binarny ładunek protobuf może wyczerpać stos wywołań JavaScript, powodując awarię.