CVE-2026-84303 in gRPC-Go
Сводка
по VulDB • 01.09.2026
gRPC-Go — это реализация gRPC для языка Go. До версии 1.83.1 фильтр HTTP RBAC xDS в файле internal/xds/httpfilter/rbac/rbac.go не приводит имена заголовков, используемые для сопоставления (header matcher), к нижнему регистру в функции normalizeHeaderMatcher, несмотря на то что входящие ключи метаданных уже приведены к нижнему регистру. Политика DENY с именем смешанного регистра, таким как X-Role или User-Agent, поэтому не соответствует условиям и приводит к открытому доступу (fails open), позволяя запросы, которые должны быть отклонены. То же несоответствие регистра позволяет заголовкам :Scheme или Grpc-Status обойти проверку gRFC A41 и предотвращает преобразование Host в :authority. Эта проблема исправлена в версии 1.83.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.