CVE-2026-101915
NiskieCVSS 3.7Streszczenie
W bibliotece @grpc/grpc-js przed wersjami 1.13.6 i 1.14.5, gdy procedura obsługi metody aplikacji zgłosi nieprzechwycony błąd, serwer dołącza jego komunikat do statusu wysyłanego do klienta. Powoduje to ujawnienie informacji wrażliwych, jeśli komunikat błędu zawiera dane poufne.
Ocena ryzyka
Klient może otrzymać wewnętrzne komunikaty błędów zawierające dane wrażliwe, co ułatwia rozpoznanie i dalsze ataki. Ryzyko dotyczy aplikacji używających gRPC w JavaScript.
Rekomendacja
Zaktualizuj @grpc/grpc-js do wersji 1.13.6 lub 1.14.5. Dodatkowo unikaj umieszczania danych wrażliwych w komunikatach błędów.
Inne podatności w @grpc/grpc-js
Zobacz wszystkie- CVE-2026-101916Wysokie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.
- CVE-2026-101914Średnie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.
- CVE-2026-48069Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.
- CVE-2026-48068Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.
Oryginalny opis (angielski, źródło NVD)
@grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, when an application method handler throws an uncaught error, the server includes its error message in the status message sent to the client. The thrown error message is transmitted to the client, causing sensitive information disclosure when the message contains sensitive data. This issue is fixed in versions 1.13.6 and 1.14.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS