protobufjs में मनमाना कोड निष्पादन (Arbitrary code execution)

यह भेद्यता एक हमलावर को protobuf परिभाषा या JSON विवरण को एक एप्लिकेशन में इंजेक्ट करने की अनुमति देती है, जिससे वे मनमाना जावास्क्रिप्ट कोड निष्पादित कर सकते हैं। यह उन अनुप्रयोगों के लिए विशेष रूप से खतरनाक है जो बाहरी स्रोतों से protobuf संदेशों को डीकोड करते हैं, क्योंकि हमलावर दुर्भावनापूर्ण स्कीमा प्रदान करके सिस्टम को नियंत्रित कर सकते हैं। इस भेद्यता का उपयोग डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियों के लिए किया जा सकता है। यह भेद्यता Log4Shell जैसी शोषण पैटर्न के समान है, जहां एक हमलावर बाहरी इनपुट के माध्यम से कोड निष्पादित कर सकता है।

Applications built on Node.js that utilize the protobufjs library, particularly those that load protobuf definitions or JSON descriptors from external or untrusted sources, are at significant risk. This includes microservices, API gateways, and any application that processes data serialized using Protocol Buffers.

• nodejs / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object -ExpandProperty CommandLine | Select-String -Pattern 'require\("protobufjs"\)'

• nodejs / supply-chain:

Get-WinEvent -LogName Application -FilterXPath '//Event[System[Provider[@Name='Node.js']]]'

• generic web: Inspect Node.js application code for instances where protobufjs is used to load descriptors from external sources. • generic web: Review application logs for any errors or warnings related to protobufjs schema parsing or code generation.

1. 2026-04-16Disclosure

   disclosure

1. आरक्षित2026-04-18
2. प्रकाशित2026-04-16
3. संशोधित2026-05-04
4. EPSS अद्यतन2026-04-26

CVE-2026-41242 के लिए प्राथमिक शमन उपाय protobufjs को संस्करण 7.5.5 या बाद के संस्करण में अपडेट करना है। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, इनपुट सत्यापन को मजबूत करके और यह सुनिश्चित करके कि केवल विश्वसनीय स्रोतों से ही protobuf स्कीमा लोड किए जाते हैं, जोखिम को कम किया जा सकता है। वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को भी लागू किया जा सकता है ताकि दुर्भावनापूर्ण protobuf संदेशों को फ़िल्टर किया जा सके। अपडेट करने के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, protobufjs को एक ज्ञात सुरक्षित संदेश के साथ लोड करके और यह सुनिश्चित करके कि कोई अनपेक्षित कोड निष्पादित नहीं होता है।