protobufjs-cliはprotobuf.jsのコマンドラインアドオンです。バージョン1.3.2および2.5.0以前では、pbjsのstatic/static-moduleコード生成における安全でない名前の処理に関する修正が不完全でした。影響を受けるprotobufjs-cliのバージョンは、細工されたJSONディスクリプタ入力から静的出力を生成する際に、依然として安全でないJavaScript参照を出力する可能性があります。通常の.protoファイルからスキーマを解析するケースは影響を受けません。この問題は既知の脆弱性の回避策を回避する手法に該当します。事前に解析されたJSONディスクリプタをpbjsの静的コード生成に渡すことができる場合、攻撃者は生成されるJavaScript出力に攻撃者制御のコードを含める可能性があります。生成されたファイルがその後実行またはインポートされ、影響を受ける生成APIパスが呼び出されると、その注入されたコードが実行される場合があります。この脆弱性はバージョン1.3.2および2.5.0で修正されました。

ベンダ情報を参照して適切な対策を実施してください。