CVE-2026-89418 in protobuf-javascript
Résumé
par VulDB • 17/09/2026
google-protobuf contient une récursivité non bornée lors de l'analyse des champs group protobuf inconnus. Un attaquant peut envoyer un petit payload fabriqué composé d'octets START_GROUP profondément imbriqués à n'importe quel service Node.js appelant l'API deserializeBinary() générée, provoquant une erreur RangeError : Maximum call stack size exceeded et le plantage du processus. Aucune authentification ni connaissance préalable du schéma ne sont requises.
If you want to get best quality of vulnerability data, you may have to visit VulDB.