CVE-2026-44295: protobufjs-cli: حقن كود في مخرجات pbjs الثابتة من أسماء مخططات مصمّمة خصيصًا | Kitploit

CVE-2026-44295

عاليتم النشر

protobufjs-cli: حقن كود في مخرجات pbjs الثابتة من أسماء مخططات مصمّمة خصيصًا

تم النشر: 13‏/05‏/2026
محدث: 13‏/05‏/2026
تخصيص CNA: GitHub_M
الأدلة المرصودة: 17‏/08‏/2026

CVSS الأساسي

8.7/ 10عالي

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

تقدير احتمالية EPSS

0.4‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 33.5‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

protobufjs-cli هو الإضافة الخاصة بسطر الأوامر لـ protobuf.js. قبل الإصدارين 1.2.1 و2.0.2، كان توليد الكود الثابت عبر pbjs قد يُصدر معرّفات JavaScript غير آمنة مشتقة من أسماء يتحكم بها المخطط. عند توليد JavaScript ثابت من مخطط مُصمَّم بعناية أو واصف JSON، يمكن كتابة بعض أسماء النطاقات أو التعدادات أو الخدمات أو الأسماء الكاملة المشتقة في المخرجات المُولَّدة دون تعقيم كافٍ. تم إصلاح هذه الثغرة في الإصدارين 1.2.1 و2.0.2.

المصادر

CVE-2026-442_PoC
CVE-2026-44289, CVE-2026-44290, CVE-2026-44291, CVE-2026-44292, CVE-2026-44294, CVE-2026-44295 - protobuf.js

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.