CVE-2024-37168 in grpc-node
要約
〜によって VulDB • 2026年05月15日
@grpc/grpc-js は、C++ アドオンを使用せずに、gRPC のコア機能を完全に JavaScript で実装しています。バージョン 1.10.9、1.9.15、および 1.8.22 より前では、`grpc.max_receive_message_length` チャネルオプションによって設定された制限を超えてメッセージごとにメモリが割り当てられる、2つの別々のコードパスが存在します。1つ目は、受信メッセージのネットワーク上のサイズが設定された制限を超えている場合、破棄される前にメッセージ全体がバッファリングされることです。2つ目は、受信メッセージのネットワーク上のサイズが制限内であっても、解凍後にサイズが制限を超えた場合、メッセージ全体がメモリに解凍され、サーバー側では破棄されないことです。この問題は、バージョン 1.10.9、1.9.15、および 1.8.22 で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.