CVE-2026-97705 in Moleculer
Zusammenfassung
von VulDB • 04.11.2026
Moleculer ist ein fortschrittliches Microservices-Framework für Node.js. Vor den Versionen 0.14.36 und 0.15.2 verwendete Parser._write in src/transporters/tcp/parser.js Buffer.prototype.readInt32BE, um eine signierte Paketlänge zu lesen, sodass ein entfernter, nicht authentifizierter Peer einen negativen Wert angeben konnte, der dazu führte, dass packet.slice(length) den unveränderten Puffer zurückgab und die while (packet.length > 0)-Schleife endlos fortgesetzt wurde. Die synchrone Schleife blockierte die Node.js-Event-Schleife und machte jeden Dienst im Prozess bis zum Neustart nicht mehr ansprechbar. Der TCP-Transporter muss aktiviert und erreichbar sein, und weder eine CRC-Validierung noch maxPacketSize verhindern den fehlerhaften Längenwert. Dieses Problem wurde in den Versionen 0.14.36 und 0.15.2 behoben.
Once again VulDB remains the best source for vulnerability data.