CVE-2026-41242
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece protobufjs umożliwia wstrzyknięcie dowolnego kodu JavaScript przez pola 'type' w definicjach protobuf. Kod wykonuje się podczas dekodowania obiektów. Problem został załatany w wersjach 8.0.1 i 7.5.5.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod JavaScript w kontekście aplikacji używającej protobufjs, co prowadzi do przejęcia kontroli nad systemem, kradzieży danych lub innych szkodliwych działań.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę protobufjs do wersji 8.0.1 lub 7.5.5. Przed aktualizacją zaleca się sprawdzenie, czy nie są używane niezaufane definicje protobuf.
Oryginalny opis (angielski, źródło NVD)
protobufjs compiles protobuf definitions into JavaScript (JS) functions. In versions prior to 8.0.1 and 7.5.5, attackers can inject arbitrary code in the "type" fields of protobuf definitions, which will then execute during object decoding using that definition. Versions 8.0.1 and 7.5.5 patch the issue.