CVE-2026-48068

WysokieCVSS 7.5

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 21/07/2026(UTC)Przetłumaczono: 22/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.63%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.

Ocena ryzyka

Atakujący może doprowadzić do przerwania działania serwera gRPC, co skutkuje niedostępnością usługi (DoS) i potencjalną utratą ciągłości biznesowej.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę @grpc/grpc-js do jednej z załatanych wersji: 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 lub 1.14.4.

Inne podatności w @grpc/grpc-js

CVE-2026-48069Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.

Oryginalny opis (angielski, źródło NVD)

@grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming HTTP/2 stream initiation can cause a server process created using @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.