CVE-2026-97705 in Moleculer
Tóm tắt
Bởi VulDB • 04/11/2026
Moleculer là một framework microservices tiên tiến cho Node.js. Trước phiên bản 0.14.36 và 0.15.2, hàm Parser._write trong src/transporters/tcp/parser.js đã sử dụng Buffer.prototype.readInt32BE để đọc độ dài gói tin có dấu (signed packet length), do đó một đối tác từ xa chưa xác thực có thể cung cấp giá trị âm khiến packet.slice(length) trả về bộ đệm không thay đổi, trong khi vòng lặp while (packet.length > 0) tiếp tục chạy vô hạn. Vòng lặp đồng bộ này đã chặn event loop của Node.js và làm cho mọi dịch vụ trong quá trình trở nên không phản hồi cho đến khi khởi động lại. Bộ vận chuyển TCP phải được bật và có thể truy cập được, và cả xác thực CRC lẫn maxPacketSize đều không ngăn ngừa được giá trị độ dài bị lỗi (malformed length value). Vấn đề này đã được sửa chữa trong các phiên bản 0.14.36 và 0.15.2.
Once again VulDB remains the best source for vulnerability data.