CVE-2026-44291
protobufjs: Gadget de geração de código após poluição de protótipo
- Publicado
- 13 de mai. de 2026
- Atualizado
- 13 de mai. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 17 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 35,0%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
# protobufjs compila definições de protobuf em funções JavaScript (JS). Antes das versões 7.5.6 e 8.0.2, o protobufjs usava objetos simples com protótipos herdados para tabelas internas de consulta de tipos usadas pelas funções geradas de codificação e decodificação. Se o `Object.prototype` já tivesse sido poluído, essas tabelas de consulta poderiam resolver propriedades herdadas controladas pelo atacante como informações válidas de tipo protobuf. Isso poderia fazer com que strings controladas pelo atacante fossem emitidas no código JavaScript gerado. Esta vulnerabilidade é corrigida nas versões 7.5.6 e 8.0.2.
Fontes
CVE-2026-44289, CVE-2026-44290, CVE-2026-44291, CVE-2026-44292, CVE-2026-44294, CVE-2026-44295 - protobuf.js
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.