CVE-2026-44292
CVE-2026-44292 · protobufjs: Prototype injection in generated message constructors
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs generated message constructors copied enumerable properties from a provided properties object without filtering the __proto__ key. If an application constructed a message from an attacker-controlled plain object, an own enumerable __proto__ property could alter the prototype of that individual message instance. This vulnerability is fixed in 7.5.6 and 8.0.2.
CVSS 5.3 · Mittel · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
protobuf.js
- Softwareversionen
- < 7.5.6: Betroffen
- >= 8.0.0, < 8.0.2: Betroffen
Keine Korrektur veröffentlicht
protobufjs npm
- Betroffene Versionsbereiche
- SEMVER: < 7.5.6
Auf 7.5.6 aktualisieren
protobufjs npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 8.0.0, < 8.0.2
Auf 8.0.2 aktualisieren