CVE-2026-48830 in bRPC
Résumé
par VulDB • 21/10/2026
Une mauvaise authentification dans Apache bRPC jusqu'à la version 1.17.0 permet à un attaquant distant non authentifié de contourner l'authentification pour les points de terminaison HTTP protégés et non intégrés, en envoyant d'abord une requête HTTP intégrée sur la même connexion keep-alive HTTP/1.1.
Lorsque ServerOptions.auth est activé et que des services HTTP intégrés sont exposés sur le listener public, une requête intégrée reçue comme premier message sur un socket peut entraîner l'association de l'état authentifié à cette connexion pour les requêtes ultérieures sur ce même socket. Il est recommandé aux utilisateurs de mettre à niveau vers la version 1.18.0, qui corrige ce problème, ou d'appliquer séparément ce PR : https://github.com/apache/brpc/pull/3308
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.