CVE-2026-101914
ŚrednieCVSS 6.5Streszczenie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.
Ocena ryzyka
Nieprawidłowa autoryzacja może pozwolić nieuprawnionemu użytkownikowi na dostęp do metod, do których nie powinien mieć dostępu, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację @grpc/grpc-js do wersji 1.13.1 lub 1.14.1 (lub nowszej), która zawiera poprawkę.
Inne podatności w @grpc/grpc-js
Zobacz wszystkie- CVE-2026-101916Wysokie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.
- CVE-2026-101915Niskie
W bibliotece @grpc/grpc-js przed wersjami 1.13.6 i 1.14.5, gdy procedura obsługi metody aplikacji zgłosi nieprzechwycony błąd, serwer dołącza jego komunikat do statusu wysyłanego do klienta. Powoduje to ujawnienie informacji wrażliwych, jeśli komunikat błędu zawiera dane poufne.
- CVE-2026-48069Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.
- CVE-2026-48068Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.
Oryginalny opis (angielski, źródło NVD)
@grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.1 and 1.14.1, the exact path (method name) matcher used by RBAC performs a prefix comparison instead of an equality comparison when case-insensitive matching is enabled. If one service method name prefixes another and the methods have different access rules, a request for the longer method can match the shorter method's rule and cause incorrect authorization. This issue is fixed in versions 1.13.1 and 1.14.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS