CVE-2026-97705

Nome do Software Vulnerável e Versões Afetadas Moleculer versões anteriores a 0.14.36 Moleculer versões anteriores a 0.15.2

Description Uma falha existe no transportador TCP onde a função Parser. write em src/transporters/tcp/parser.js utiliza Buffer.prototype.readInt32BE para ler um comprimento de pacote assinado. Um peer remoto não autenticado pode fornecer um valor negativo, fazendo com que packet.slice(length) retorne o buffer original. Isso resulta em um loop while (packet.length > 0) infinito que bloqueia o event loop do Node.js, tornando todos os serviços no processo inoperantes até que ocorra a reinicialização. Isso acontece quando o transportador TCP está habilitado e acessível, pois a validação CRC e o maxPacketSize não impedem o uso de um valor de comprimento malformado.

Recommendations Atualizar para a versão 0.14.36. Atualizar para a versão 0.15.2.