CVE-2026-44289: protobufjs project protobufjs

csirt@kutim:~/threat-intel/cve/CVE-2026-44289

CVSS 7.5 · High EPSS 0,68%

Kerentanan Uncontrolled Recursion pada protobufjs project protobufjs. Skor CVSS 3.1 7.5 (High) menurut github.com.

Deskripsi (NVD)

protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs could recurse without a depth limit while decoding nested protobuf data. This affected both skipping unknown group fields and generated decoding of nested message fields. A crafted protobuf binary payload could cause the JavaScript call stack to be exhausted during decoding. This vulnerability is fixed in 7.5.6 and 8.0.2.

Rincian

Terbit di NVD: 13 Mei 2026
Terakhir diubah: 28 Agustus 2026
Status NVD: Modified
CVSS 3.1: 7.5 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-674: Uncontrolled Recursion
CWE-606: Unchecked Input for Loop Condition
EPSS (30 hari): 0,68% peluang dieksploitasi; lebih tinggi dari 51,3% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
protobufjs project	protobufjs	Semua versi sebelum 7.5.6
protobufjs project	protobufjs	Versi 8.0.0 hingga sebelum 8.0.2

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.