CVE-2026-48069

WysokieCVSS 7.5

Opublikowano: 14/07/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.63%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece @grpc/grpc-js umożliwia atakującemu wysłanie nieprawidłowo skompresowanej wiadomości, co powoduje awarię procesu klienta lub serwera. Problem został naprawiony w wersjach 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 oraz 1.14.4.

Ocena ryzyka

Atakujący może zdalnie spowodować awarię aplikacji korzystającej z @grpc/grpc-js, co prowadzi do przerwania działania usługi (DoS) i potencjalnej utraty dostępności systemu.

Rekomendacja

Należy niezwłocznie zaktualizować bibliotekę @grpc/grpc-js do jednej z załatanych wersji: 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 lub 1.14.4.

Inne podatności w @grpc/grpc-js

CVE-2026-48068Wysokie
Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.

Oryginalny opis (angielski, źródło NVD)

@grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming compressed message can cause a client or server process that uses @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.