O que foi divulgado
O problema, rastreado como CVE-2026-1245 e coberto pelo relatório original, afeta versões do binary-parser anteriores à 2.3.0. A falha decorre do uso inseguro do construtor Function para gerar código JavaScript em tempo de execução, com nomes de campos e parâmetros de codificação inseridos diretamente no código gerado sem sanitização.
Vetor e impacto
Quando aplicações aceitam dados externos para compor definições dinâmicas de parser, um atacante pode manipular esses valores para alterar o código gerado e executar JavaScript arbitrário com os privilégios do processo Node.js. Em cenários de produção, isso pode levar à leitura de arquivos locais, execução de comandos e movimentos laterais dependendo do contexto e permissões do processo vulnerável.
Quem precisa agir
Projetos e aplicações que utilizam binary-parser para interpretar dados de terceiros ou processar entradas externas devem considerar-se em risco. A cobertura destaca que aplicações que usam apenas definições estáticas e hardcoded não são afetadas; o risco existe quando definições são construídas dinamicamente com dados não confiáveis.
Mitigação e orientação prática
- Atualizar o binary-parser para a versão 2.3.0 ou superior, que introduz validação de entrada e mitigações contra geração insegura de código.
- Auditar código-fonte para identificar pontos onde dados externos são utilizados como nomes de campos ou parâmetros do parser.
- Evitar o uso de construção dinâmica de parsers a partir de entradas de usuários; preferir definições estáticas ou validação e escaping rigorosos.
- Seguir recomendações do CERT/CC e do vendor para aplicação imediata do patch e revisão de dependências transitivas.
Impacto no ecossistema e limitações
Trata-se de uma vulnerabilidade de cadeia de suprimentos em uma biblioteca amplamente utilizada no ecossistema Node.js. A notícia original ressalta que o problema afeta aplicações que processam dados de terceiros de forma dinâmica; não há indicação de exploração automatizada em larga escala na cobertura disponível no momento, mas a gravidade do vetor (execução de código com privilégios do processo) torna urgente a aplicação dos patches.
Observações finais
Organizações devem priorizar inventário de aplicações Node.js e dependências, aplicar a versão 2.3.0 do binary-parser e auditar os pontos de construção dinâmica de parsers. A divulgação original fornece instruções de mitigação e recomendações do CERT/CC citadas pela matéria.
Fonte: Cyber Security News (relato do CVE-2026-1245 e orientações associadas).