CVE-2026-48712

protobufjs (لم يتم تحديد الإصدارات المتأثرة)

توجد مشكلة قد تؤدي إلى تكرار البرنامج دون حد للعمق أثناء تحويل الرسائل التي تم فك تشفيرها إلى كائنات عادية أو JSON. ويؤثر هذا بشكل خاص على عملية التحويل toObject() التي تم إنشاؤها ومسار التحويل المخصص لـ JSON google.protobuf.Any. يمكن لحمولة ثنائية مصممة خصيصًا لـ protobuf تحتوي على قيم Any متداخلة بعمق أن تستنفد مكدس استدعاءات JavaScript، مما يؤدي إلى تعطل العملية أو فشل تحويل الرسائل بسبب تجاوز سعة المكدس. يحدث هذا عندما تقوم التطبيقات بفك تشفير مدخلات protobuf غير موثوق بها تحتوي على قيم google.protobuf.Any ثم تقوم بتحويلها باستخدام JSON.stringify(message) أو Message#toJSON() أو Type.toObject(message, { json: true }).

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

تجنب تحويل رسائل protobuf غير الموثوق بها التي تحتوي على قيم google.protobuf.Any إلى JSON.

ارفض أو قم بتقييد الرسائل التي تحتوي على حمولات Any متداخلة بعمق عند حدود البروتوكول الخارجية.

اعزل عملية تحويل الرسائل في عملية يمكن إعادة تشغيلها بأمان.