JVNDB-2026-020966

protobufjs projectのprotobufjsにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

protobufjsはprotobuf定義をJavaScript（JS）関数にコンパイルします。バージョン8.2.0から8.4.2の間、protobufjsは不明なワイヤー要素をmessage.$unknownsに保持していましたが、不明なフィールドを破棄するためのデコード時オプションを提供していませんでした。そのため、多数の不明なフィールドを含む細工されたprotobufペイロードは、不明なフィールドのラウンドトリップが不要な場合でも、デコードされたメッセージが入力サイズよりもはるかに多くのメモリを保持する原因となっていました。protobufjs 8.5.0では関連するデコード時オプションが追加され、信頼できないprotobufデータをデコードするアプリケーションがデコード中の不明なフィールドの保持を無効化できるようになりました。protobufjs 8.6.2ではデフォルトの動作が切り替わり、不明なフィールドは明示的に許可されない限り破棄されるようになりました。

protobufjs project

• protobufjs 8.2.0 以上 8.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Memory amplification from preserved unknown fields in binary decode  Advisory  protobufjs/protobuf.js  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-54270

1. National Vulnerability Database (NVD) : CVE-2026-54270

• [2026年06月26日]
    掲載