CVE-2026-44295 CVSS 8.7 高危

CVE-2026-44295 protobufjs-cli不安全代码生成漏洞

披露日期: 2026-05-13

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-44295

漏洞类型

代码注入

CVSS评分

8.7 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

protobufjs-cli / protobuf.js

漏洞概述

protobufjs-cli是protobuf.js的命令行插件。在1.2.1和2.0.2版本之前，pbjs静态代码生成功能可能输出不安全的JavaScript标识符，这些标识符源于受控的架构名称。当利用精心构造的架构或JSON描述符生成静态JavaScript代码时，由于对命名空间、枚举、服务等名称的清理不足，攻击者可将恶意代码注入到生成的输出文件中。

技术细节

该漏洞源于protobufjs-cli在处理用户提供的架构文件时的输入验证缺失。具体而言，`pbjs`工具负责将Protocol Buffer架构编译为静态JavaScript模块。在受影响的版本中，工具将架构内的命名空间、枚举值、服务名等字段直接转换为JavaScript变量名或属性名，而未对这些名称进行严格的字符过滤和转义。攻击者可以利用这一点，构造包含特殊字符（如分号、括号、反引号等JavaScript语法字符）的恶意架构名称。当开发者使用受影响的`pbjs`工具处理这些恶意文件时，生成的JavaScript代码中会包含攻击者定义的恶意语法块。一旦该生成的代码被引入应用程序并执行，攻击者注入的代码即可在目标环境中运行，从而可能窃取数据或破坏系统完整性。

攻击链分析

STEP 1

构造恶意架构

攻击者创建一个包含特殊字符（如JavaScript语法关键字或操作符）的恶意.proto文件或JSON描述符，旨在破坏生成的代码结构或注入可执行逻辑。

STEP 2

诱导代码生成

攻击者诱导开发者或CI/CD系统使用存在漏洞的protobufjs-cli工具（pbjs）处理该恶意架构文件，以生成静态JavaScript代码。

STEP 3

写入恶意代码

pbjs工具在处理过程中未能过滤特殊字符，将架构中的恶意名称直接拼接到生成的JavaScript源码文件中。

STEP 4

执行攻击载荷

当应用程序加载或引用生成的JavaScript文件时，注入的恶意代码被解析引擎执行，导致潜在的远程代码执行攻击。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// Malicious JSON descriptor example demonstrating the injection
const MaliciousDescriptor = {
  "nested": {
    "SafeNamespace": {
      "nested": {
        // Identifier containing malicious JavaScript syntax
        "MaliciousField; console.log('CVE-2026-44295 Exploited'); //": {
          "fields": {
            "id": { "type": "string", "id": 1 }
          }
        }
      }
    }
  }
};

// When processed by vulnerable pbjs (e.g., pbjs -t static-module malicious.json > output.js):
// The generated output.js might look like:
// $root.SafeNamespace.MaliciousField; console.log('CVE-2026-44295 Exploited'); // = (function() {
//   ...
// })();

// Requiring the generated file executes the injected code
// require('./output.js');

影响范围

protobufjs-cli < 1.2.1

protobufjs-cli < 2.0.2

防御指南

临时缓解措施

如果无法立即升级，请严格审查所有用于生成代码的.proto文件来源，避免使用不受信任的第三方架构文件。同时，可以实施代码审计流程，检查生成的JavaScript文件中是否存在异常的语法结构或潜在的注入代码。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表