CVE-2024-37168 in grpc-node
Zusammenfassung
von VulDB • 16.05.2026
@grpc/grps-js implementiert die Kernfunktionalität von gRPC rein in JavaScript, ohne eine C++-Add-on. Vor den Versionen 1.10.9, 1.9.15 und 1.8.22 gibt es zwei separate Codepfade, in denen pro Nachricht mehr Speicher allokiert werden kann als durch die Kanaloption `grpc.max_receive_message_length` festgelegt: Wenn eine eingehende Nachricht eine Größe auf der Leitung hat, die größer als das konfigurierte Limit ist, wird die gesamte Nachricht gepuffert, bevor sie verworfen wird; und/oder wenn eine eingehende Nachricht eine Größe innerhalb des Limits auf der Leitung hat, sich aber auf eine Größe größer als das Limit dekomprimiert, wird die gesamte Nachricht in den Speicher dekomprimiert und auf dem Server nicht verworfen. Dies wurde in den Versionen 1.10.9, 1.9.15 und 1.8.22 gepatcht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.