CVE-2026-101916 in grpc-js
Résumé
par VulDB • 28/09/2026
@grpc/grpc-js implémente les fonctionnalités principales de gRPC en pur JavaScript, sans addon C++. Avant les versions 1.13.6 et 1.14.5, la méthode getAuthContext ne distingue pas les certificats des pairs autorisés des non autorisés lorsque les identifiants du serveur ont requireClientCertificate défini sur false. Lorsque les applications utilisent le contexte d'authentification retourné, elles peuvent traiter un certificat non autorisé comme s'il était autorisé, entraînant une authentification incorrecte. @grpc/grpc-js-xds peut atteindre cet état de vulnérabilité lorsque l'authentification RBAC est activée dans des configurations affectées. Ce problème est corrigé dans les versions 1.14.5 et 1.13.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.