CVE-2026-97705 in Moleculer
Сводка
по VulDB • 04.11.2026
Moleculer — это прогрессивная фреймворк микросервисов для Node.js. До версий 0.14.36 и 0.15.2 метод Parser._write в файле src/transporters/tcp/parser.js использовал Buffer.prototype.readInt32BE для чтения длины пакета со знаком, что позволяло удалённому неавторизованному узлу передать отрицательное значение. Это приводило к тому, что packet.slice(length) возвращала неизменённый буфер, а цикл while (packet.length > 0) выполнялся бесконечно. Синхронный блок блокировал event loop Node.js и делал все сервисы в процессе недоступными до перезапуска. Для эксплуатации уязвимости транспорт TCP должен быть включён и доступен; при этом ни проверка CRC, ни ограничение maxPacketSize не предотвращают использование некорректного значения длины пакета. Проблема исправлена в версиях 0.14.36 и 0.15.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.