Jacobbrackett

**Nome do Software Vulnerável e Versões Afetadas** protobufjs-cli versões anteriores a 1.3.2 protobufjs-cli versões anteriores a 2.5.0 **Description** Uma correção incompleta para a manipulação insegura de nomes na geração de código estático e static-module do `pbjs` permite a emissão de referências JavaScript inseguras ao gerar saída estática a partir de entradas de descritores JSON manipuladas. Um invasor que possa fornecer ou influenciar descritores JSON pré-analisados passados para a geração de código estático do `pbjs` pode fazer com que a saída JavaScript gerada contenha código controlado pelo invasor. Esse código injetado pode ser executado se o arquivo gerado for posteriormente executado ou importado e um caminho de API gerado afetado for invocado. A análise de esquemas de arquivos `.proto` não é afetada. **Recommendations** Atualize para a versão 1.3.2. Atualize para a versão 2.5.0. Não execute a geração estática ou static-module do `pbjs` em descritores JSON não confiáveis. Valide os nomes derivados do descritor antes da geração de código e rejeite nomes que não poderiam ter sido produzidos pela análise de um arquivo `.proto` válido. Execute a geração de código em um ambiente isolado para reduzir o impacto.