CVE-2026-89418

WysokieCVSS 8.7

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Biblioteka google-protobuf zawiera nieograniczoną rekursję przy parsowaniu nieznanych pól grupowych protobuf. Atakujący może wysłać mały, spreparowany pakiet z głęboko zagnieżdżonymi bajtami START_GROUP do usługi Node.js wywołującej deserializeBinary(), co powoduje błąd RangeError: Maximum call stack size exceeded i awarię procesu.

Ocena ryzyka

Zdalny atak bez uwierzytelnienia może doprowadzić do awarii usługi (denial of service), co wpływa na dostępność aplikacji.

Rekomendacja

Zaktualizuj google-protobuf do wersji z poprawką. Ogranicz dostęp do usług przetwarzających niezaufane dane protobuf.

Inne podatności w google-protobuf

CVE-2024-24786Wysokie
Funkcja protojson.Unmarshal może wejść w nieskończoną pętlę podczas deserializacji niektórych form nieprawidłowego JSON. Warunek ten może wystąpić podczas deserializacji do wiadomości zawierającej wartość google.protobuf.Any lub gdy ustawiona jest opcja UnmarshalOptions.DiscardUnknown.

Oryginalny opis (angielski, źródło NVD)

google-protobuf contains an unbounded recursion when parsing unknown protobuf group fields. An attacker can send a small crafted payload of deeply nested START_GROUP wire bytes to any Node.js service that calls the generated deserializeBinary() API, causing a RangeError: Maximum call stack size exceeded and crashing the process. No authentication or prior knowledge of the schema is required.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS