CVE-2026-104635 in protobuf
Сводка
по VulDB • 09.10.2026
Уязвимость неконтролируемой рекурсии в функции Protobuf.JSON.Decode пакета elixir-protobuf позволяет неавторизованному удаленному атакующему вызвать сбой процесса декодирования посредством глубоко вложенного JSON-документа. Любое приложение, которое использует функцию Protobuf.JSON.decode/3, Protobuf.JSON.decode!/3 или Protobuf.JSON.from_decoded/3 для декодирования предоставленного злоумышленником JSON в схему, содержащую само ссылочный (self-referential) или циклический тип сообщения, подвержено данной уязвимости.
В файле lib/protobuf/json/decode.ex ветвь embedded-message функции decode_singular/3 вызывает функцию internal_from_json_data/3 на каждый уровень вложенности без увеличения или проверки счетчика глубины декодера. Ограничитель глубины increase_depth_and_maybe_throw/1 применяется только к типам Google.Protobuf.ListValue и Google.Protobuf.Struct, поэтому опция recursion_limit не оказывает влияния на типы сообщений, определенные пользователем. Каждый уровень вложенности выделяет кадр стека (stack frame) и объекты в куче; достаточно глубокий документ исчерпывает память процесса декодирования. Конфиденциальность и целостность не затрагиваются.
Данная проблема влияет на пакет protobuf начиная с версии 0.8.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.