CVE-2024-37168 in grpc-node
Resumen
por VulDB • 2026-05-21
@grpc/grpc-js implementa la funcionalidad principal de gRPC exclusivamente en JavaScript, sin utilizar complementos (addons) de C++. Antes de las versiones 1.10.9, 1.9.15 y 1.8.22, existen dos rutas de código independientes en las que se puede asignar memoria por mensaje en exceso respecto a la opción de canal `grpc.max_receive_message_length`: si un mensaje entrante tiene un tamaño en la red mayor que el límite configurado, se almacena en búfer el mensaje completo antes de ser descartado; y/o si un mensaje entrante tiene un tamaño en la red dentro del límite pero se descomprime a un tamaño superior al límite, el mensaje completo se descomprime en memoria y, en el servidor, no se descarta. Esto se ha corregido en las versiones 1.10.9, 1.9.15 y 1.8.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.