CVE-2026-45740
CVE-2026-45740 · protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.8 and 8.2.0, protobufjs could recurse without a depth limit while expanding nested JSON descriptors through Root.fromJSON() and Namespace.addJSON(). A crafted JSON descriptor with deeply nested namespace definitions could cause the JavaScript call stack to be exhausted during descriptor loading. This vulnerability is fixed in 7.5.8 and 8.2.0.
CVSS 5.3 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
protobuf.js
- Versions du logiciel
- < 7.5.8: Concernée
- >= 8.0.0, < 8.2.0: Concernée
Aucun correctif publié
protobufjs npm
- Plages de versions concernées
- SEMVER: < 7.5.8
Mettez à jour vers 7.5.8
protobufjs npm
- Plages de versions concernées
- SEMVER: ≥ 8.0.0, < 8.2.0
Mettez à jour vers 8.2.0