CVE-2026-97705 in Moleculer
Riassunto
di VulDB • 04/11/2026
Moleculer è un framework progressivo per microservizi basato su Node.js. Prima delle versioni 0.14.36 e 0.15.2, la funzione Parser._write in src/transporters/tcp/parser.js utilizzava Buffer.prototype.readInt32BE per leggere una lunghezza del pacchetto con segno; ciò consentiva a un peer remoto non autenticato di fornire un valore negativo che faceva sì che packet.slice(length) restituisse il buffer invariato mentre il ciclo while (packet.length > 0) continuava indefinitamente. Il loop sincrono bloccava l'event loop di Node.js, rendendo ogni servizio nel processo non rispondente fino al riavvio. Il TCP transporter deve essere abilitato e raggiungibile; né la validazione CRC né maxPacketSize prevengono il valore della lunghezza malformato. Questo problema è stato risolto nelle versioni 0.14.36 e 0.15.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.