Уязвимости protobufjsprotobufjs: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-598772026-07-08

  protobufjs: Denial of Service via infinite loop in .proto option parsing

  Затронутые версии: >= 7.5.0, < 7.6.5 · >= 8.0.0, < 8.6.6

  высокая 7.5

  Исправлено в: 7.6.5, 8.6.6

• CVE-2026-598762026-07-08

  protobufjs: Text Format string map parsing can mutate returned map object prototype

  Затронутые версии: >= 8.2.0, < 8.6.5

  средняя 4.8

  Исправлено в: 8.6.5

• CVE-2026-542702026-06-22

  protobufjs: Memory amplification from preserved unknown fields in binary decode

  Затронутые версии: >= 8.2.0, < 8.5.0

  средняя 5.3

  Исправлено в: 8.5.0

• CVE-2026-542692026-06-22

  protobufjs: Schema-derived names can shadow runtime-significant properties

  Затронутые версии: < 7.6.3 · >= 8.0.0, < 8.6.0

  средняя 5.3

  Исправлено в: 7.6.3, 8.6.0

• CVE-2026-487122026-06-22

  protobufjs: Denial of service through unbounded Any expansion during JSON conversion

  Затронутые версии: < 7.6.1 · >= 8.0.0, < 8.4.1

  высокая 7.5

  Исправлено в: 7.6.1, 8.4.1

• CVE-2026-457402026-05-13

  protobufjs: Denial of Service via unbounded recursive JSON descriptor expansion

  Затронутые версии: < 7.5.8 · >= 8.0.0, < 8.2.0

  высокая 7.5

  Исправлено в: 7.5.8, 8.2.0

• CVE-2026-442942026-05-13

  protobufjs: Denial of service from crafted field names in generated code

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  средняя 5.3

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442932026-05-13

  protobufjs: Code injection through bytes field defaults in generated toObject code

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  высокая 7.7

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442922026-05-13

  protobufjs: Prototype injection in generated message constructors

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  средняя 5.3

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442912026-05-13

  protobufjs: Code generation gadget after prototype pollution

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  высокая 8.1

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442902026-05-13

  protobufjs: Process-wide denial of service through unsafe option paths

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  высокая 7.5

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442892026-05-13

  protobufjs: Denial of service through unbounded protobuf recursion

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  высокая 7.5

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-442882026-05-13

  protobufjs: Overlong UTF-8 decoding

  Затронутые версии: < 7.5.6 · >= 8.0.0, < 8.0.2

  средняя 5.3

  Исправлено в: 7.5.6, 8.0.2

• CVE-2026-41242есть код эксплойта2026-04-18

  protobufjs has an arbitrary code execution issue

  Затронутые версии: >= 8.0.0, < 8.0.1 · < 7.5.5

  критическая 9.4

  Исправлено в: 7.5.5, 8.0.1

• CVE-2023-366652023-07-05

  "protobuf.js (aka protobufjs) 6.10.0 through 7.x before 7.2.5 allows Prototype Pollution, a different vulnerability than CVE-2022-25878.

  Затронутые версии: >= 7.0.0, < 7.2.5 · >= 6.10.0, < 6.11.4

  критическая 9.8

  Исправлено в: 6.11.4, 7.2.5

  EPSS 1,6%

• CVE-2022-258782022-05-27

  The package protobufjs before 6.11.3 are vulnerable to Prototype Pollution which can allow an attacker to add/modify properties of the Objec

  Затронутые версии: >= 6.11.0, < 6.11.3 · >= 6.10.0, < 6.10.3

  высокая 7.5

  Исправлено в: 6.10.3, 6.11.3

  EPSS 2,3%

• CVE-2018-37382018-06-06

  protobufjs is vulnerable to ReDoS when parsing crafted invalid .proto files.

  Затронутые версии: >= 6.0.0, < 6.8.6 · < 5.0.3

  средняя 5.5

  Исправлено в: 5.0.3, 6.8.6