CVE-2026-44291
CVE-2026-44291 · protobufjs: Code generation gadget after prototype pollution
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs used plain objects with inherited prototypes for internal type lookup tables used by generated encode and decode functions. If Object.prototype had already been polluted, those lookup tables could resolve attacker-controlled inherited properties as valid protobuf type information. This could cause attacker-controlled strings to be emitted into generated JavaScript code. This vulnerability is fixed in 7.5.6 and 8.0.2.
CVSS 8.1 · Élevée · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
protobuf.js
- Versions du logiciel
- < 7.5.6: Concernée
- >= 8.0.0, < 8.0.2: Concernée
Aucun correctif publié
protobufjs npm
- Plages de versions concernées
- SEMVER: < 7.5.6
Mettez à jour vers 7.5.6
protobufjs npm
- Plages de versions concernées
- SEMVER: ≥ 8.0.0, < 8.0.2
Mettez à jour vers 8.0.2