CVE-2026-97705 in Moleculer
Sumário
de VulDB • 04/11/2026
Moleculer é um framework de microsserviços progressivo para Node.js. Antes das versões 0.14.36 e 0.15.2, a função Parser._write em src/transporters/tcp/parser.js utilizava Buffer.prototype.readInt32BE para ler o comprimento do pacote como um valor assinado, permitindo que um peer remoto não autenticado fornecesse um valor negativo. Isso fazia com que packet.slice(length) retornasse o buffer inalterado enquanto o loop while (packet.length > 0) continuava indefinidamente. O loop síncrono bloqueou o event loop do Node.js e tornou todos os serviços no processo irresponsivos até a reinicialização. O transportador TCP deve estar habilitado e acessível, e nem a validação CRC nem maxPacketSize impedem o valor de comprimento malformado. Este problema foi corrigido nas versões 0.14.36 e 0.15.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.