Wysoka

protobuf affected by a JSON recursion depth bypass

Ujawniono: 23.01.2026
Aktualizacja: 11.10.2026 15:17

A denial-of-service (DoS) vulnerability exists in google.protobuf.json_format.ParseDict() in Python, where the max_recursion_depth limit can be bypassed when parsing nested google.protobuf.Any messages.

Due to missing recursion depth accounting inside the internal Any-handling logic, an attacker can supply deeply nested Any structures that bypass the intended recursion limit, eventually exhausting Python’s recursion stack and causing a RecursionError.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	protobuf	>= 6.30.0rc1, < 6.33.5, < 5.29.6	6.33.5, 5.29.6

Odnośniki

Ocena CVSS -

Wektor CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:L
Słabość (CWE): CWE-674
Platforma: Python (PyPI)
Paczka: protobuf
Ujawniono: 23.01.2026
Aktualizacja: 11.10.2026 15:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-1805 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-7gcm-g887-7qv7 - CC BY 4.0

Historia podatności: protobuf

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 09.2017 01.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5

Ujawnienia w latach

2017: 1
2018: 0
2019: 0
2020: 0
2021: 0
2022: 2
2023: 0
2024: 0
2025: 1
2026: 1

23.01.2026

protobuf affected by a JSON recursion depth bypass ten wpis

Wysoka CVE-2026-0994 >= 6.30.0rc1, < 6.33.5, < 5.29.6 6.33.5, 5.29.6
16.06.2025

protobuf-python has a potential Denial of Service issue

Wysoka CVE-2025-4565 < 4.25.8, >= 5.26.0rc1, < 5.29.5, >= 6.30.0rc1, < 6.31.1 4.25.8, 5.29.5, 6.31.1
23.09.2022

protobuf-cpp and protobuf-python have potential Denial of Service issue

Wysoka · 7.5 CVE-2022-1941 < 3.18.3, >= 3.19.0, < 3.19.5, >= 3.20.0, < 3.20.2, >= 4.0.0, < 4.21.6 3.18.3, 3.19.5, 3.20.2, 4.21.6
26.01.2022

Nullptr dereference when a null char is present in a proto symbol. The symbol is parsed incorrectly, leading to an unchecked call into the proto file's name during generation of the resulting error me

Wysoka · 7.5 CVE-2021-22570 < 3.15.0 3.15.0
25.09.2017

protobuf allows remote authenticated attackers to cause a heap-based buffer overflow.

Wysoka · 8.8 CVE-2015-5237 < 3.4.0 3.4.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację