CVE-2026-89418 in protobuf-javascript
要約
〜によって VulDB • 2026年09月17日
google-protobuf には、不明な protobuf グループフィールドを解析する際に無制限の再帰が発生します。攻撃者は、生成された deserializeBinary() API を呼び出す任意の Node.js サービスに対して、深くネストした START_GROUP ワイヤバイトを含む小さな改ざんペイロードを送信し、「RangeError: Maximum call stack size exceeded」を引き起こしてプロセスをクラッシュさせることができます。認証やスキーマに関する事前知識は必要ありません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.