CVE-2026-41242: Injeção de código em campos type do protobufjs
O protobufjs, biblioteca JavaScript que compila definições protobuf em funções, possui fraqueza de injeção de código (CWE-94) em que conteúdo controlado por atacante nos campos type pode ser executado durante a decodificação de objetos. A pontuação base da NVD é 9.8, e o registro indica como versões corrigidas 7.5.5 e 8.0.1. O registro não mostra inclusão no catálogo KEV e as fontes consultadas não confirmam exploração ativa.
Visão geral
O protobufjs transforma definições de esquema protobuf em funções JavaScript usadas para codificar e decodificar mensagens. O registro descreve uma fraqueza de injeção de código (CWE-94) nos campos type dessas definições, em que conteúdo injetado pode ser executado quando um objeto é decodificado com a definição afetada.
Impacto
- A avaliação da NVD classifica o impacto em confidencialidade, integridade e disponibilidade como alto, com pontuação base de 9.8.
- O GitHub, como CNA, indica pontuação de 9.4 para o mesmo problema.
- Inferência: aplicações que aceitam definições protobuf de fontes não confiáveis, ou que decodificam dados com tais definições, são as mais expostas.
Produtos e versões afetados
- O registro lista duas entradas de produto. Para Protobufjs Protobuf.js, os intervalos são anteriores a 7.5.5 e de 8.0.0-experimental até antes de 8.0.1.
- Para Protobufjs Project Protobufjs, o registro lista anteriores a 7.5.5 e a versão 8.0.0.
- A descrição informa que o problema é corrigido nas versões 8.0.1 e 7.5.5.
- Desconhecido: o registro não esclarece se 8.0.0 está totalmente afetada; verifique a build exata em uso.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. As fontes consultadas não confirmam exploração ativa.
- Os dados SSVC do registro trazem o valor de exploração poc, e uma referência do GitHub está marcada como relacionada a exploit. Esses campos, por si só, não confirmam exploração no mundo real.
Correção e mitigação
- Atualize para 7.5.5 na linha correspondente ou para 8.0.1 na linha 8.x, conforme as versões corrigidas do registro.
- Quando a atualização for adiada, limite a decodificação a definições protobuf de fontes confiáveis e não aceite conteúdo de esquema enviado por usuários não confiáveis.
- Consulte os avisos de fornecedores listados no registro, como os da Red Hat, para verificar o status de empacotamento em distribuições derivadas.
Orientações de detecção
- Faça o inventário do protobufjs em manifestos de pacotes, arquivos de lock, imagens de contêiner e SBOMs, incluindo dependências transitivas.
- Revise de onde as definições protobuf são obtidas e sinalize alterações inesperadas ou não validadas nos esquemas.
- Monitore logs de aplicações em busca de erros de decodificação ou comportamentos incomuns em serviços que processam entradas protobuf.
Limitações das informações disponíveis
- O registro não descreve as condições exatas de acionamento, o caminho de código envolvido nem o conteúdo específico que torna a injeção possível.
- Desconhecido: se a entrada 8.0.0 do registro é afetada em todas as builds.
- Os dados EPSS presentes no registro estimam apenas probabilidade e não confirmam exploração.
- A análise se baseia nas fontes consultadas; não houve validação independente.
Perguntas frequentes
Quais versões estão corrigidas?
Segundo o registro, as versões corrigidas são 7.5.5 e 8.0.1, e a descrição informa que versões anteriores a 8.0.1 e 7.5.5 são afetadas.
A vulnerabilidade consta no catálogo KEV da CISA?
Não. O registro indica que não há inclusão no KEV, e as fontes consultadas não confirmam exploração ativa.
O que equipes com atualização adiada devem fazer?
Limitar a decodificação protobuf a definições de fontes confiáveis, evitar aceitar conteúdo de esquema de usuários não confiáveis e planejar a atualização para as versões corrigidas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.