CVE-2026-97705 in Moleculer
الملخص
بحسب VulDB • 04/11/2026
Moleculer هو إطار عمل تقدمي للخدمات المصغرة (microservices) مخصص لـ Node.js. قبل الإصدارين 0.14.36 و0.15.2، كانت الدالة `Parser._write` في الملف `src/transporters/tcp/parser.js` تستخدم `Buffer.prototype.readInt32BE` لقراءة طول الحزمة كقيمة مُوقَّعة (signed)، مما سمح لعميل بعيد غير مصادق عليه بإدخال قيمة سالبة تتسبب في إرجاع `packet.slice(length)` للبايتات دون تغيير، بينما استمر حلقة التكرار `while (packet.length > 0)` بشكل لا نهائي. حاصرت الحلقة المتزامنة (synchronous loop) دورة أحداث Node.js وجعلت كل الخدمات داخل العملية غير مستجيبة حتى إعادة التشغيل. يجب تمكين ناقل TCP وإتاحته للوصول إليه، ولا تمنع عمليات التحقق من صحة CRC أو الحد الأقصى لحجم الحزمة (`maxPacketSize`) القيمة المشوّهة للطول. تمت معالجة هذه المشكلة في الإصدارين 0.14.36 و0.15.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.