CVE-2026-45740: DoS in protobuf.js
Platform
nodejs
Component
protobufjs
Opgelost in
7.5.8
CVE-2026-45740 beschrijft een Denial of Service (DoS) kwetsbaarheid in protobuf.js, een JavaScript bibliotheek voor het compileren van protobuf definities. Deze kwetsbaarheid kan leiden tot een uitputting van de JavaScript call stack, waardoor de applicatie crasht of niet meer reageert. De kwetsbaarheid treedt op in versies 7.0.0–>= 8.0.0, < 8.2.0. Een fix is beschikbaar in versie 7.5.8 en 8.2.0.
Impact en Aanvalsscenarios
Een aanvaller kan deze kwetsbaarheid misbruiken door een speciaal ontworpen JSON descriptor te leveren, die diep geneste namespace definities bevat. Wanneer protobuf.js deze descriptor verwerkt via Root.fromJSON() of Namespace.addJSON(), kan dit leiden tot een onbeperkte recursie en uiteindelijk een overbelasting van de JavaScript call stack. Dit resulteert in een DoS aanval, waarbij de applicatie niet meer beschikbaar is voor legitieme gebruikers. De impact kan variëren afhankelijk van de context waarin protobuf.js wordt gebruikt, maar kan in ernstige gevallen leiden tot een volledige dienstweigering.
Uitbuitingscontext
Deze kwetsbaarheid is openbaar bekend en er zijn mogelijk Proof-of-Concept (POC) exploits beschikbaar. De ernst van de kwetsbaarheid is beoordeeld als MEDIUM. Er is geen informatie beschikbaar over actieve campagnes die deze kwetsbaarheid misbruiken. De kwetsbaarheid is gepubliceerd op 2026-05-13.
Dreigingsinformatie
Exploit Status
CISA SSVC
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
- Attack Complexity
- Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
- Privileges Required
- Geen — geen authenticatie vereist om te exploiteren.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Geen — geen vertrouwelijkheidsimpact.
- Integrity
- Geen — geen integriteitsimpact.
- Availability
- Laag — gedeeltelijke of intermitterende denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gereserveerd
- Gepubliceerd
Mitigatie en Workarounds
De primaire mitigatie is het updaten naar versie 7.5.8 of 8.2.0 van protobuf.js. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de diepte van de recursie in de JSON descriptor verwerking. Dit kan echter complex zijn en kan de functionaliteit van de applicatie beïnvloeden. Het implementeren van een Web Application Firewall (WAF) die kwaadaardige JSON descriptors detecteert en blokkeert, kan ook helpen. Controleer de configuratie van uw applicatie om te verzekeren dat er geen onbeperkte recursie mogelijk is.
Hoe te verhelpenwordt vertaald…
Actualice a la versión 7.5.8 o superior, o a la versión 8.2.0 o superior para mitigar la vulnerabilidad de denegación de servicio. La actualización corrige la falta de un límite de profundidad en la expansión de descriptores JSON anidados, previniendo el agotamiento de la pila de llamadas.
Veelgestelde vragen
Wat is CVE-2026-45740 — DoS in protobuf.js?
CVE-2026-45740 is een Denial of Service (DoS) kwetsbaarheid in de protobuf.js bibliotheek, waardoor een aanvaller de JavaScript call stack kan overbelasten met een speciaal ontworpen JSON descriptor.
Am I affected by CVE-2026-45740 in protobuf.js?
U bent mogelijk kwetsbaar als u protobuf.js gebruikt in versie 7.0.0–>= 8.0.0, < 8.2.0. Controleer uw versies en update indien nodig.
How do I fix CVE-2026-45740 in protobuf.js?
Update protobuf.js naar versie 7.5.8 of hoger om deze kwetsbaarheid te verhelpen.
Is CVE-2026-45740 being actively exploited?
Er is momenteel geen informatie beschikbaar over actieve exploits, maar de kwetsbaarheid is openbaar bekend en POC exploits kunnen bestaan.
Where can I find the official protobuf.js advisory for CVE-2026-45740?
Raadpleeg de protobuf.js GitHub repository of de bijbehorende beveiligingsadvies voor meer informatie: [https://github.com/protocolbuffers/protobufjs](https://github.com/protocolbuffers/protobufjs)
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...