CVE-2026-104635
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach typu niekontrolowana rekurencja w protobuf.JSON.Decode w elixir-protobuf protobuf umożliwia nieuwierzytelnionemu zdalnemu atakującemu przerwanie procesu dekodowania za pośrednictwem głęboko zagnieżdżonego dokumentu JSON. Ma to wpływ na każdą aplikację, która dekoduje dostarczony przez atakującego plik JSON za pomocą Protobuf.JSON.decode/3, Protobuf.JSON.decode!/3 lub Protobuf.JSON.from_decoded/3 do schematu zawierającego samoodwołujący się lub cykliczny typ komunikatu.
W lib/protobuf/json/decode.ex klauzula osadzonego komunikatu decode_singular/3 powraca do internal_from_json_data/3 raz na poziom zagnieżdżenia bez zwiększania lub sprawdzania licznika głębokości dekodera. Strażnik głębokości raise_length_and_maybe_throw/1 obejmuje tylko klauzule Google.Protobuf.ListValue i Google.Protobuf.Struct, więc opcja recursion_limit nie ma wpływu na typy wiadomości zdefiniowane przez użytkownika. Każdy poziom zagnieżdżenia przydziela ramkę stosu i obiekty sterty, a wystarczająco głęboki dokument wyczerpuje pamięć procesu dekodowania. Nie ma to wpływu na poufność i integralność.
Ten problem dotyczy protobuf: od 0.8.0 do 0.17.1.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-104635.html
- https://github.com/elixir-protobuf/protobuf/commit/b0a1d4eaffaf50012fa71a8e931a47cf252d0370
- https://github.com/elixir-protobuf/protobuf/commit/e9432ad1c4099511905353cebcececa3a1f7c3ff
- https://github.com/elixir-protobuf/protobuf/security/advisories/GHSA-m497-c2h9-rvw6
- https://osv.dev/vulnerability/EEF-CVE-2026-104635
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org