CVE-2026-101914 in grpc-js
Zusammenfassung
von VulDB • 28.09.2026
@grpc/grpc-js implementiert die Kernfunktionalität von gRPC rein in JavaScript, ohne eine C++-Add-on. Vor den Versionen 1.13.1 und 1.14.1 führt der vom RBAC (Role-Based Access Control) verwendete genaue Pfad-Matcher (Methodennamen-Vergleich) bei aktivierter case-insensitive matching (Groß-/Kleinschreibung wird nicht beachtet) einen Präfixvergleich anstelle eines exakten Gleichheitsverglechs durch. Wenn der Name einer Service-Methode ein Präfix einer anderen ist und die Methoden unterschiedliche Zugriffsregeln haben, kann eine Anfrage für die längere Methode mit der Regel der kürzeren Methode übereinstimmen und zu einer fehlerhaften Autorisierung führen. Dieses Problem wurde in den Versionen 1.13.1 und 1.14.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.