CVE-2026-48068
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.
Ocena ryzyka
Atakujący może doprowadzić do przerwania działania serwera gRPC, co skutkuje niedostępnością usługi (DoS) i potencjalną utratą ciągłości biznesowej.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę @grpc/grpc-js do jednej z załatanych wersji: 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 lub 1.14.4.
Inne podatności w @grpc/grpc-js
Zobacz wszystkie- CVE-2026-101916Wysokie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.
- CVE-2026-101915Niskie
W bibliotece @grpc/grpc-js przed wersjami 1.13.6 i 1.14.5, gdy procedura obsługi metody aplikacji zgłosi nieprzechwycony błąd, serwer dołącza jego komunikat do statusu wysyłanego do klienta. Powoduje to ujawnienie informacji wrażliwych, jeśli komunikat błędu zawiera dane poufne.
- CVE-2026-101914Średnie
@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.
- CVE-2026-48069Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.
Oryginalny opis (angielski, źródło NVD)
@grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming HTTP/2 stream initiation can cause a server process created using @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS