CVE-2026-101916
WysokieCVSS 7.4Streszczenie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.
Ocena ryzyka
Atakujący może obejść uwierzytelnianie, przedstawiając nieautoryzowany certyfikat, co prowadzi do nieautoryzowanego dostępu do usług gRPC. Dotyczy to aplikacji używających @grpc/grpc-js z requireClientCertificate=false.
Rekomendacja
Zaktualizuj @grpc/grpc-js do wersji 1.13.6 lub 1.14.5. Rozważ włączenie requireClientCertificate lub weryfikację autoryzacji certyfikatów w kontekście uwierzytelniania.
Inne podatności w @grpc/grpc-js
Zobacz wszystkie- CVE-2026-101915Niskie
W bibliotece @grpc/grpc-js przed wersjami 1.13.6 i 1.14.5, gdy procedura obsługi metody aplikacji zgłosi nieprzechwycony błąd, serwer dołącza jego komunikat do statusu wysyłanego do klienta. Powoduje to ujawnienie informacji wrażliwych, jeśli komunikat błędu zawiera dane poufne.
- CVE-2026-101914Średnie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.
- CVE-2026-48069Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.
- CVE-2026-48068Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.
Oryginalny opis (angielski, źródło NVD)
@grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, getAuthContext does not distinguish authorized from unauthorized peer certificates when server credentials set requireClientCertificate to false. When applications use the returned authentication context, they can treat an unauthorized certificate as authorized, causing improper authentication. @grpc/grpc-js-xds can reach this condition when RBAC authentication is enabled in affected configurations. This issue is fixed in version 1.14.5 and 1.13.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS