PT-2026-40534
CVE-2026-44288
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات protobufjs الأقدم من 7.5.6
إصدارات protobufjs الأقدم من 8.0.2
الوصف
يتضمن protobufjs وحدة فك ترميز UTF-8 بسيطة تُستخدم في مسارات فك الترميز غير التابعة لـ Node ومسارات فك الترميز الاحتياطية، والتي تقبل تسلسلات بايت UTF-8 طويلة جدًا — وهي تسلسلات تستخدم بايتات أكثر من اللازم لتمثيل حرف ما — وتقوم بفك ترميزها إلى أحرفها القياسية بدلاً من استبدالها. يمكن للمهاجم الذي يقدم بيانات ثنائية لـ protobuf تم فك تشفيرها عبر هذا المسار تجاوز عمليات الفحص على مستوى التطبيق التي تتحقق من البايتات الأولية قبل فك تشفير السلاسل. على سبيل المثال، يمكن أن تُفك تشفير البايتات التي لا تحتوي على أحرف ASCII محددة إلى سلاسل تحتوي عليها بالفعل. يعتمد التأثير على كيفية قيام التطبيق النهائي بالتحقق من صحة السلاسل التي تم فك تشفيرها واستخدامها.
التوصيات
التحديث إلى الإصدار 7.5.6.
التحديث إلى الإصدار 8.0.2.
تجنب الاعتماد حصريًّا على التصفية على مستوى البايت قبل فك تشفير سلاسل protobuf.
تحقق من صحة السلاسل التي تم فك تشفيرها عند نقطة الاستخدام.
افضل مسارات وقت التشغيل التي تستخدم فك تشفير UTF-8 الأصلي.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾