CVE-2026-44295
WysokieStreszczenie
W protobufjs-cli przed wersjami 1.2.1 i 2.0.2 występowała podatność, która pozwalała na generowanie niebezpiecznych identyfikatorów JavaScript z nazw kontrolowanych przez schemat. Przy generowaniu statycznego kodu JavaScript z przygotowanego schematu lub opisu JSON, niektóre nazwy mogły być zapisane w wygenerowanym wyjściu bez odpowiedniej sanitizacji.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które wykorzystują niebezpieczne identyfikatory, co może prowadzić do nieautoryzowanego dostępu lub wykonania złośliwego kodu. Wykorzystanie tej podatności może zagrażać integralności aplikacji i danych.
Rekomendacja
Zaleca się aktualizację protobufjs-cli do wersji 1.2.1 lub 2.0.2, aby usunąć tę podatność. Należy również przeprowadzić audyt istniejącego kodu w celu identyfikacji potencjalnych zagrożeń.
Inne podatności w protobufjs-cli
Zobacz wszystkie- CVE-2026-42290Wysokie
W wersjach przed 1.2.1 i 2.0.2, narzędzie protobufjs-cli wywoływało JSDoc, budując polecenie powłoki z ścieżek plików wejściowych. Ścieżki plików zawierające metaznaki powłoki mogły być interpretowane przez powłokę zamiast być przekazywane do JSDoc jako zwykłe argumenty.
- CVE-2026-54271Wysokie
W protobufjs-cli, przed wersjami 1.3.2 i 2.5.0, występowała niekompletna poprawka dotycząca niebezpiecznego przetwarzania nazw w generowaniu kodu statycznego. Affected versions mogły emitować niebezpieczne odniesienia JavaScript podczas generowania statycznego wyjścia z przygotowanego wejścia JSON.
Oryginalny opis (angielski, źródło NVD)
protobufjs-cli is the command line add-on for protobuf.js. Prior to 1.2.1 and 2.0.2, pbjs static code generation could emit unsafe JavaScript identifiers derived from schema-controlled names. When generating static JavaScript from a crafted schema or JSON descriptor, certain namespace, enum, service, or derived full names could be written into the generated output without sufficient sanitization. This vulnerability is fixed in 1.2.1 and 2.0.2.