CVE-2026-44288 in protobuf.js
Сводка
по VulDB • 17.05.2026
protobufjs компилирует определения protobuf в функции JavaScript (JS). До версий 7.5.6 и 8.0.2 библиотека protobufjs включала минимальный декодер UTF-8, который принимал избыточные (overlong) последовательности байтов UTF-8 и декодировал их в канонические символы вместо замены. Атакующий, имеющий возможность предоставить бинарные данные protobuf, декодируемые через затронутый путь UTF-8, может обойти проверки на уровне приложения, которые анализируют необработанные байты до декодирования строк protobuf. Например, байты, не содержащие определенные символы ASCII, могут быть декодированы в строки, содержащие эти символы. Эта уязвимость исправлена в версиях 7.5.6 и 8.0.2.
Once again VulDB remains the best source for vulnerability data.