PT-2026-49586
CVE-2026-54271
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات protobufjs-cli الأقدم من 1.3.2
إصدارات protobufjs-cli الأقدم من 2.5.0
الوصف
يؤدي الإصلاح غير الكامل لمشكلة المعالجة غير الآمنة للأسماء في عملية توليد الكود الثابت ووحدات الكود الثابتة في
pbjs إلى إصدار مراجع JavaScript غير آمنة عند توليد مخرجات ثابتة من مدخلات واصفات JSON مصممة خصيصًا. يمكن للمهاجم الذي يستطيع توفير أو التأثير على واصفات JSON التي تم تحليلها مسبقًا والتي يتم تمريرها إلى عملية توليد الكود الثابت لـ pbjs أن يتسبب في احتواء المخرجات JavaScript التي تم توليدها على كود يتحكم فيه المهاجم. قد يتم تنفيذ هذا الكود المُحقن إذا تم لاحقًا تنفيذ الملف الذي تم توليده أو استيراده، وتم استدعاء مسار API متأثر تم توليده. لا يتأثر تحليل المخططات من ملفات .proto.التوصيات
قم بالتحديث إلى الإصدار 1.3.2.
قم بالتحديث إلى الإصدار 2.5.0.
لا تقم بتشغيل توليد
pbjs الثابت أو توليد الوحدة النمطية الثابتة على واصفات JSON غير موثوق بها.تحقق من صحة الأسماء المشتقة من الواصفات قبل توليد الكود وارفض الأسماء التي لا يمكن أن تكون ناتجة عن تحليل ملف
.proto صالح.قم بتشغيل توليد الكود في بيئة معزولة لتقليل التأثير.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾