CVE-2026-54271

Nome do Software Vulnerável e Versões Afetadas protobufjs-cli versões anteriores a 1.3.2 protobufjs-cli versões anteriores a 2.5.0

Description Uma correção incompleta para a manipulação insegura de nomes na geração de código estático e static-module do pbjs permite a emissão de referências JavaScript inseguras ao gerar saída estática a partir de entradas de descritores JSON manipuladas. Um invasor que possa fornecer ou influenciar descritores JSON pré-analisados passados para a geração de código estático do pbjs pode fazer com que a saída JavaScript gerada contenha código controlado pelo invasor. Esse código injetado pode ser executado se o arquivo gerado for posteriormente executado ou importado e um caminho de API gerado afetado for invocado. A análise de esquemas de arquivos .proto não é afetada.

Recommendations Atualize para a versão 1.3.2. Atualize para a versão 2.5.0. Não execute a geração estática ou static-module do pbjs em descritores JSON não confiáveis. Valide os nomes derivados do descritor antes da geração de código e rejeite nomes que não poderiam ter sido produzidos pela análise de um arquivo .proto válido. Execute a geração de código em um ambiente isolado para reduzir o impacto.