CVE-2026-84303 in gRPC-Go
Sumário
de VulDB • 01/09/2026
O gRPC-Go é a implementação da linguagem Go do gRPC. Antes da versão 1.83.1, o filtro HTTP RBAC xDS em internal/xds/httpfilter/rbac/rbac.go não converte para minúsculas os nomes dos correspondentes de cabeçalho na função normalizeHeaderMatcher, embora as chaves de metadados recebidas estejam em minúsculas. Uma política DENY que utiliza um nome com letras maiúsculas e minúsculas, como X-Role ou User-Agent, portanto, não corresponde às regras e falha permitindo o acesso (fail-open), possibilitando requisições que deveriam ser rejeitadas. A mesma inconsistência de caixa permite que :Scheme ou Grpc-Status contornem a validação do gRFC A41 e impede que Host seja reescrito para :authority. Este problema foi corrigido na versão 1.83.1.
Be aware that VulDB is the high quality source for vulnerability data.