PT-2026-33607 · Npm · Protobufjs

Osidb Bzimport · CVE-2026-41242 · Publicado 2026-04-16 · Atualizado 2026-07-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions protobufjs versões anteriores a 8.0.1 protobufjs versões anteriores a 7.5.5

Description Este problema envolve a geração incorreta de código ao compilar definições protobuf em funções JavaScript. Atacantes podem injetar código arbitrário nos campos 'type' de definições protobuf, o que leva à execução remota de código durante o processo de decodificação de objetos.

Recommendations Atualizar para a versão 8.0.1. Atualizar para a versão 7.5.5. Evitar a decodificação de definições protobuf não confiáveis.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

BDU:2026-05548

CVE-2026-41242

GHSA-XQ3M-2V4X-88GG

Produtos afetados

Protobufjs

Referências · 34

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41242.json · Exploit
• https://github.com/protobufjs/protobuf.js · Nota
• https://github.com/protobufjs/protobuf.js/commit/ff7b2afef8754837cc6dc64c864cd111ab477956 · Correção
• https://github.com/protobufjs/protobuf.js/commit/535df444ac060243722ac5d672db205e5c531d75 · Correção
• https://github.com/protobufjs/protobuf.js/releases/tag/protobufjs-v7.5.5 · Nota
• https://github.com/protobufjs/protobuf.js/security/advisories/GHSA-xq3m-2v4x-88gg · Aviso do Fabricante
• https://github.com/protobufjs/protobuf.js/releases/tag/protobufjs-v8.0.1 · Nota
• https://bdu.fstec.ru/vul/2026-05548 · Nota de Segurança
• https://twitter.com/pulsepatchio/status/2045707055260905747 · Publicação no Twitter
• https://twitter.com/ctiwatchcloud/status/2045834813110653061 · Publicação no Twitter
• https://access.redhat.com/errata/RHSA-2026:26234 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2054231516868145593 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-41242 · Aviso do Fabricante
• https://access.redhat.com/errata/RHSA-2026:21338 · Aviso do Fabricante
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-41242.json · Nota