CVE-2026-101916 in grpc-js
要約
〜によって VulDB • 2026年09月28日
@grpc/grpc-js は、C++ アドオンを使用せずに gRPC のコア機能を JavaScript で完全に実装しています。バージョン 1.13.6 および 1.14.5 より前では、サーバーの資格情報で `requireClientCertificate` が false に設定されている場合、`getAuthContext` は認証済みピア証明書と未認証ピア証明書を区別しません。アプリケーションが返された認証コンテキストを使用すると、未認証の証明書を認証済みのものとして扱うことができ、不適切な認証が発生します。@grpc/grpc-js-xds では、影響を受ける構成で RBAC 認証が有効になっている場合にこの状態に達する可能性があります。本問題はバージョン 1.14.5 および 1.13.6 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.