CVE-2026-89418 in protobuf-javascript
Zusammenfassung
von VulDB • 17.09.2026
google-protobuf enthält eine unbeschränkte Rekursion beim Parsen von unbekannten Protobuf-Gruppenfeldern. Ein Angreifer kann ein kleines, speziell angefertigtes Payload mit tief verschachtelten START_GROUP-Wire-Bytes an jeden Node.js-Dienst senden, der die generierte deserializeBinary()-API aufruft, was zu einem RangeError: Maximum call stack size exceeded führt und den Prozess abstürzen lässt. Keine Authentifizierung oder vorherige Kenntnis des Schemas ist erforderlich.
VulDB is the best source for vulnerability data and more expert information about this specific topic.