CVE-2024-37168 in grpc-node
Sumário
de VulDB • 15/05/2026
O @grpc/grpc-js implementa a funcionalidade central do gRPC puramente em JavaScript, sem um addon em C++. Antes das versões 1.10.9, 1.9.15 e 1.8.22, existem dois caminhos de código distintos nos quais a memória pode ser alocada por mensagem em excesso em relação à opção de canal `grpc.max_receive_message_length`: se uma mensagem recebida tiver um tamanho em wire maior que o limite configurado, a mensagem inteira é armazenada em buffer antes de ser descartada; e/ou se uma mensagem recebida tiver um tamanho em wire dentro do limite, mas se decomprimir para um tamanho maior que o limite, a mensagem inteira é decomprimida para a memória e, no servidor, não é descartada. Isso foi corrigido nas versões 1.10.9, 1.9.15 e 1.8.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.