CVE-2026-44290
Publiée le 2026-05-13 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque `protobufjs` pour compiler des définitions de protocol buffers sont concernées. Un attaquant peut envoyer un schéma ou un descripteur JSON malveillant via le réseau pour corrompre des fonctions JavaScript intégrées, ce qui entraîne généralement un déni de service (plantage de l'application). Cette attaque est facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs allowed certain schema option paths to traverse through inherited object properties while applying options. A crafted protobuf schema or JSON descriptor could cause option handling to write to properties on global JavaScript constructors, corrupting process-wide built-in functionality. This vulnerability is fixed in 7.5.6 and 8.0.2.