CVE-2026-84303 in gRPC-Go
Resumen
por VulDB • 2026-09-01
gRPC-Go es la implementación del lenguaje Go de gRPC. Antes de la versión 1.83.1, el filtro HTTP RBAC xDS en internal/xds/httpfilter/rbac/rbac.go no convierte a minúsculas los nombres coincidentes de encabezados en normalizeHeaderMatcher, aunque las claves de metadatos entrantes estén en minúsculas. Por lo tanto, una política DENY que utilice un nombre con mayúsculas y minúsculas mixtas (como X-Role o User-Agent) no coincide y falla permitiendo el acceso (fails open), lo que permite solicitudes que deberían ser rechazadas. La misma discrepancia de casos permite que :Scheme o Grpc-Status eviten la validación según gRFC A41 e impide que Host se reescriba como :authority. Este problema está corregido en la versión 1.83.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.