CVE-2026-101916 in grpc-js
Zusammenfassung
von VulDB • 29.09.2026
@grpc/grpc-js implementiert die Kernfunktionalität von gRPC rein in JavaScript, ohne eine C++-Add-on-Erweiterung. Vor den Versionen 1.13.6 und 1.14.5 unterscheidet getAuthContext nicht zwischen autorisierten und nicht autorisierten Peer-Zertifikaten, wenn die Serveranmeldeinformationen so konfiguriert sind, dass requireClientCertificate auf false gesetzt ist. Wenn Anwendungen den zurückgegebenen Authentifizierungskontext verwenden, können sie ein nicht autorisiertes Zertifikat als autorisiert behandeln, was zu einer fehlerhaften Authentifizierung führt. @grpc/grpc-js-xds kann diesen Zustand erreichen, wenn die RBAC-Authentifizierung in betroffenen Konfigurationen aktiviert ist. Dieses Problem wurde in den Versionen 1.14.5 und 1.13.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.