CVE-2026-41242

CVE-2026-41242 — protobuf.js 代码注入到远程代码执行 CVSS 9.4（严重） | 代码注入（CWE-94） 概述 protobuf.js（npm：protobufjs）版本 ≤ 7.5.4 和 ≤ 8.0.0 存在通过 protobuf schema 中 type 名称导致的任意代码执行 漏洞。@protobufjs/codegen 模块将 type 名称直接拼接进 JavaScript 字符串，再通过 Function 构造函数执行（等同于 eval）。能够控制 schema 的攻击者可注入代码并在服务器上运行。 已修复： protobufjs 7.5.5...