CVE-2026-104635 in protobuf
सारांश
द्वारा VulDB • 09/10/2026
Protobuf.JSON.Decode में elixir-protobuf protobuf के अंदर एक अनियंत्रित पुनरावर्तन (Uncontrolled Recursion) दोष है, जो एक प्रमाणीकृत नहीं किए गए दूरस्थ आक्रामक को गहराई से नेस्टेड JSON दस्तावेज़ के माध्यम से डिकोडिंग प्रक्रिया को क्रैश करने की अनुमति देता है। Protobuf.JSON.decode/3, Protobuf.JSON.decode!/3, या Protobuf.JSON.from_decoded/3 का उपयोग करके आक्रामक द्वारा आपूर्ति किए गए JSON को उस स्कीमा में डिकोड करने वाली कोई भी एप्लिकेशन प्रभावित होती है जिसमें एक स्व-संदर्भित (self-referential) या चक्रीय संदेश प्रकार होता है।
lib/protobuf/json/decode.ex में, decode_singular/3 का embedded-message क्लॉज प्रति नेस्टिंग स्तर पर internal_from_json_data/3 के लिए पुनरावर्तन करता है, लेकिन डिकोडर की गहराई काउंटर को बढ़ाने या जांचने के बिना। depth guard increase_depth_and_maybe_throw/1 केवल Google.Protobuf.ListValue और Google.Protobuf.Struct क्लॉजों को कवर करता है, इसलिए recursion_limit विकल्प उपयोगकर्ता-परिभाषित संदेश प्रकारों पर कोई प्रभाव नहीं डालता है। प्रत्येक नेस्टिंग स्तर एक स्टैक फ्रेम और हीप ऑब्जेक्ट्स आवंटित करता है, और एक पर्याप्त रूप से गहरा दस्तावेज़ डिकोडिंग प्रक्रिया की मेमोरी को समाप्त कर देता है। गोपनीयता (Confidentiality) और अखंडता (Integrity) प्रभावित नहीं होती हैं।
इस मुद्दे का प्रभाव protobuf: 0.8.0 से आगे के संस्करणों पर होता है।
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.