PT-2026-40539
CVE-2026-44293
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات protobufjs الأقدم من 7.5.6
إصدارات protobufjs الأقدم من 8.0.2
الوصف
قد يتضمن كود JavaScript الذي يتم إنشاؤه لعملية التحويل
toObject تعبيرًا غير آمن مشتقًا من القيمة الافتراضية لحقل bytes الخاضع للتحكم بواسطة المخطط. يمكن أن يؤدي الوصف المصمم خصيصًا الذي يحتوي على قيمة افتراضية غير نصية لحقل bytes إلى إدخال كود يتحكم فيه المهاجم إلى دالة التحويل التي تم إنشاؤها. وهذا يسمح للمهاجم القادر على التأثير على وصف protobuf بتنفيذ كود JavaScript تعسفي ضمن سياق العملية، شريطة أن يقوم التطبيق بتحميل مخطط غير موثوق به وتحويل رسالة من النوع المتأثر مع تمكين القيم الافتراضية.التوصيات
التحديث إلى الإصدار 7.5.6.
التحديث إلى الإصدار 8.0.2.
تجنب تحميل مخططات protobuf أو واصفات JSON من مصادر غير موثوق بها.
تحقق من صحة خيارات الحقول أو قم بتقييدها قبل تحميل المخططات غير الموثوق بها، وقم بتنفيذ معالجة المخططات في بيئة معزولة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾