Pesquisadores de cibersegurança identificaram seis vulnerabilidades no protobuf.js, uma implementação de Protocol Buffers (Protobuf) para JavaScript e TypeScript, que, se exploradas com sucesso, podem levar à execução remota de código, ou RCE, e a ataques de negação de serviço, ou DoS.
“Em ambientes afetados, um único esquema protobuf malicioso, descritor ou payload cuidadosamente montado pode ser suficiente para provocar travamentos, corrupção em tempo de execução ou até execução de código”, afirmou o pesquisador de segurança da Cyera, Assaf Morag.
As falhas receberam o codinome Proto6.
Protobuf é um mecanismo gratuito e de código aberto, independente de linguagem, usado para serializar dados estruturados.
Ele foi desenvolvido inicialmente pelo Google para uso interno e liberado publicamente em 2008.
As vulnerabilidades identificadas afetam aplicações Node.js que usam protobuf.js, bibliotecas cliente do Google Cloud, frameworks de mensagens como Baileys e pipelines de CI/CD.
Segundo a Cyera, qualquer serviço Node.js que desserializa dados Protobuf ou gera código a partir de esquemas com protobuf.js também pode estar exposto.
Veja um resumo de cada falha:
CVE-2026-44289
, nota CVSS 7,5: DoS por recursão Protobuf sem limite
CVE-2026-44290
, nota CVSS 7,5: DoS em todo o processo ao carregar esquemas com caminhos de opção inseguros
CVE-2026-44291
, nota CVSS 8,1: Gadget de geração de código após poluição de prototype
CVE-2026-44292
, nota CVSS 5,3: Injeção de prototype em construtores de mensagens gerados
CVE-2026-44294
, nota CVSS 5,3: DoS causado por nomes de campos maliciosos em código gerado
CVE-2026-44295
, nota CVSS 8,7: Injeção de código na saída estática do pbjs a partir de nomes de esquema maliciosos
A Cyera informou que todas as vulnerabilidades decorrem da forma como a biblioteca trata esquemas e metadados como confiáveis por padrão.
Essa falha de validação pode influenciar o comportamento das aplicações e abrir caminho para execução de código.
“Embora a exploração dessas vulnerabilidades normalmente exija condições específicas, essas condições estão se tornando cada vez mais comuns em ecossistemas de dados e AI, que trocam dados, esquemas e arquivos de configuração rotineiramente entre serviços, repositórios, plataformas cloud e integrações de terceiros”, observou Morag.
Em um cenário de ataque, um invasor poderia inserir um esquema protobuf malicioso para comprometer fluxos de CI/CD e, nesse processo, vazar segredos de build, no caso da
CVE-2026-44295
.
Outra possibilidade seria derrubar serviços Node.js, como bots de WhatsApp construídos com Baileys, uma biblioteca TypeScript para automação da API do WhatsApp Web, por meio de uma mensagem especialmente criada, no caso da
CVE-2026-44292
.
A mais grave do grupo é a
CVE-2026-44291
, que pode resultar em execução de código quando uma aplicação Node.js aceita entrada controlada pelo atacante.
“Essa entrada chega a um gadget de poluição de prototype”, explicou o pesquisador de segurança Vladimir Tokarev.
“Mais tarde, o mesmo processo usa protobuf.js para codificar ou decodificar uma mensagem.
Como o protobuf.js resolve nomes de tipos por meio de consultas diretas a propriedades, um Object.prototype contaminado pode fazer uma string controlada pelo atacante parecer um primitivo Protobuf válido.”
“O protobuf.js então insere essa string em uma função gerada de codificação ou decodificação e a compila com Function().
O atacante obtém execução arbitrária de JavaScript dentro do processo Node.js.”
As seguintes versões da ferramenta estão vulneráveis:
protobuf.js: versões até 7.5.5 e de 8.0.0 até 8.0.1
protobufjs-cli: versões até 1.2.0 e de 2.0.0 até 2.0.1
As correções estão disponíveis no protobufjs 7.5.6 e 8.0.2, além do protobufjs-cli 1.2.1 e 2.0.2.
Os usuários são aconselhados a aplicar as atualizações mais recentes para se proteger contra possíveis ameaças.
“Como o protobuf.js é amplamente usado em bancos de dados, armazenamentos vetoriais, pipelines de inferência, sistemas de orquestração, ferramentas de CI/CD e SDKs cloud, uma exploração bem-sucedida pode afetar em grande escala cargas de trabalho corporativas e de AI sensíveis”, disse a Cyera.
“O software moderno trata cada vez mais esquemas, metadados e arquivos de configuração como entradas confiáveis que acionam automação, orquestração e geração de código.
Quando essas premissas de confiança falham, os dados passam a virar comportamento.
Essa mudança cria novas superfícies de ataque que as equipes de segurança precisam aprender a identificar e gerenciar.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...