protobufjs projectのprotobufjsにおけるUnicode エンコーディングの処理に関する脆弱性
| Title |
protobufjs projectのprotobufjsにおけるUnicode エンコーディングの処理に関する脆弱性
|
| Summary |
protobufjsは、protobuf定義をJavaScript（JS）関数にコンパイルします。7.5.6および8.0.2以前のバージョンでは、protobufjsは過剰長のUTF-8バイトシーケンスを受け入れ、それらを置換するのではなく正規の文字にデコードする最小限のUTF-8デコーダを含んでいました。影響を受けるUTF-8パスを通じてデコードされたprotobufバイナリデータを提供できる攻撃者は、生のバイトを確認してからprotobuf文字列をデコードするアプリケーションレベルのチェックを回避できます。例えば、特定のASCII文字を含まないバイトが、それらの文字を含む文字列にデコードされることがあります。この脆弱性は7.5.6および8.0.2で修正されています。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 13, 2026, midnight |
| Registration Date |
May 21, 2026, 10:51 a.m. |
| Last Update |
May 21, 2026, 10:51 a.m. |
|
CVSS3.0 : 警告
|
| Score |
5.3
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Affected System
| protobufjs project |
|
protobufjs 7.5.6 未満
|
|
protobufjs 8.0.0 以上 8.0.2 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月21日]
掲載 |
May 21, 2026, 10:51 a.m. |
NVD Vulnerability Information
CVE-2026-44288
| Summary |
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs includes a minimal UTF-8 decoder that accepted overlong UTF-8 byte sequences and decoded them to their canonical characters instead of replacing them. An attacker who can provide protobuf binary data decoded through the affected UTF-8 path may be able to bypass application-level checks that inspect raw bytes before protobuf string decoding. For example, bytes that do not contain certain ASCII characters could decode to strings containing those characters. This vulnerability is fixed in 7.5.6 and 8.0.2.
|
| Publication Date |
May 14, 2026, 1:16 a.m. |
| Registration Date |
May 15, 2026, 4:21 a.m. |
| Last Update |
May 20, 2026, 5:46 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:protobufjs_project:protobufjs:*:*:*:*:*:node.js:*:* |
|
|
|
7.5.6 |
| cpe:2.3:a:protobufjs_project:protobufjs:*:*:*:*:*:node.js:*:* |
8.0.0 |
|
|
8.0.2 |
Related information, measures and tools
Common Vulnerabilities List