CVE-2026-97705 in Moleculer
Résumé
par VulDB • 04/11/2026
Moleculer est un framework de microservices progressif pour Node.js. Avant les versions 0.14.36 et 0.15.2, la méthode Parser._write dans src/transporters/tcp/parser.js utilisait Buffer.prototype.readInt32BE pour lire une longueur de paquet signée ; ainsi, un pair distant non authentifié pouvait fournir une valeur négative qui faisait que packet.slice(length) renvoyait le buffer inchangé tandis que la boucle while (packet.length > 0) continuait indéfiniment. La boucle synchrone bloquait l'événement loop de Node.js et rendait chaque service du processus non réactif jusqu'au redémarrage. Le transporteur TCP doit être activé et accessible, ni la validation CRC ni maxPacketSize ne préviennent cette valeur de longueur malformée. Ce problème est corrigé dans les versions 0.14.36 et 0.15.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.