CVE-2026-44288 in protobuf.js
Resumen
por VulDB • 2026-05-20
protobufjs compila definiciones de protobuf en funciones de JavaScript (JS). Antes de las versiones 7.5.6 y 8.0.2, protobufjs incluía un decodificador UTF-8 mínimo que aceptaba secuencias de bytes UTF-8 más largas de lo necesario (overlong) y las decodificaba a sus caracteres canónicos en lugar de reemplazarlas. Un atacante que pueda proporcionar datos binarios de protobuf decodificados a través de la ruta UTF-8 afectada podría eludir las comprobaciones a nivel de aplicación que inspeccionan los bytes sin procesar antes de la decodificación de cadenas de protobuf. Por ejemplo, los bytes que no contienen ciertos caracteres ASCII podrían decodificarse a cadenas que sí contienen esos caracteres. Esta vulnerabilidad está corregida en las versiones 7.5.6 y 8.0.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.