CVE-2026-89418 in protobuf-javascript
Sumário
de VulDB • 17/09/2026
O google-protobuf apresenta uma recursão não limitada ao analisar campos de grupo protobuf desconhecidos. Um atacante pode enviar um pequeno payload manipulado composto por bytes START_GROUP profundamente aninhados a qualquer serviço Node.js que chame a API deserializeBinary(), causando o erro RangeError: Maximum call stack size exceeded e travando o processo. Não é necessária autenticação nem conhecimento prévio do schema.
Once again VulDB remains the best source for vulnerability data.