جزئیات آسیب‌پذیری
CVE-2026-44293
Red Hat Build of Podman DesktopRed Hat Enterprise Linux 9Red Hat Enterprise Linux AI 3Red Hat OpenShift AIRed Hat OpenShift Container Platform 4Red Hat Openshift Data Foundation 4
protobufjs: Code injection through bytes field defaults in generated toObject code
CVSS 4.0
7.7بالا
شرح رسمی (انگلیسی)
protobufjs compiles protobuf definitions into JavaScript (JS) functions. Prior to 7.5.6 and 8.0.2, protobufjs generated JavaScript for toObject conversion could include an unsafe expression derived from a schema-controlled bytes field default value. A crafted descriptor with a non-string default value for a bytes field could cause attacker-controlled code to be emitted into the generated conversion function. This vulnerability is fixed in 7.5.6 and 8.0.2.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.7بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 7.1بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Red Hat | Red Hat Build of Podman Desktop | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux 9 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux AI (RHEL AI) 3 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux AI (RHEL AI) 3 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux AI (RHEL AI) 3 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux AI (RHEL AI) 3 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat OpenShift AI (RHOAI) | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat OpenShift Container Platform 4 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Openshift Data Foundation 4 | همه | CVEProject cvelistV5 (CNA) |
| Red Hat | Self-service automation portal 2 | همه | CVEProject cvelistV5 (CNA) |
| protobufjs | protobuf.js | < 7.5.6 | CVEProject cvelistV5 (CNA) |
| protobufjs | protobuf.js | >= 8.0.0, < 8.0.2 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱۵- https://github.com/protobufjs/protobuf.js/security/advisories/GHSA-66ff-xgx4-vchm x_refsource_CONFIRM
- https://access.redhat.com/security/cve/CVE-2026-44293 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2477104 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-44293.json x_sadp-csaf-vex
- https://access.redhat.com/errata/RHSA-2026:34160 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37385 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:34374 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:26234 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:60520 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:57487 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:54555 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37628 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37186 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:29795 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:26090 vendor-advisoryx_refsource_REDHAT
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۲/۲۳
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۱۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴٪
احتمال بهره‌برداری در ۳۰ روز
۳۵٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-94Improper Control of Generation of Code ('Code Injection')