JVNDB-2026-016532

protobufjs projectのprotobufjsにおけるUnicode エンコーディングの処理に関する脆弱性

protobufjsは、protobuf定義をJavaScript（JS）関数にコンパイルします。7.5.6および8.0.2以前のバージョンでは、protobufjsは過剰長のUTF-8バイトシーケンスを受け入れ、それらを置換するのではなく正規の文字にデコードする最小限のUTF-8デコーダを含んでいました。影響を受けるUTF-8パスを通じてデコードされたprotobufバイナリデータを提供できる攻撃者は、生のバイトを確認してからprotobuf文字列をデコードするアプリケーションレベルのチェックを回避できます。例えば、特定のASCII文字を含まないバイトが、それらの文字を含む文字列にデコードされることがあります。この脆弱性は7.5.6および8.0.2で修正されています。

protobufjs project

• protobufjs 7.5.6 未満
• protobufjs 8.0.0 以上 8.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Byte-level validation bypass via overlong UTF-8  Advisory  protobufjs/protobuf.js  GitHub

1. Unicode エンコーディングの不適切な処理(CWE-176) [その他]

1. CVE-2026-44288

1. National Vulnerability Database (NVD) : CVE-2026-44288

• [2026年05月21日]
    掲載