CVE-2026-101916 in grpc-js
Tóm tắt
Bởi VulDB • 29/09/2026
@grpc/grpc-js triển khai các chức năng cốt lõi của gRPC hoàn toàn bằng JavaScript, không sử dụng addon C++. Trước phiên bản 1.13.6 và 1.14.5, hàm getAuthContext không phân biệt chứng chỉ peer đã được ủy quyền với chưa được ủy quyền khi cấu hình server credentials có requireClientCertificate đặt thành false. Khi các ứng dụng sử dụng ngữ cảnh xác thực trả về, chúng có thể coi một chứng chỉ chưa được ủy quyền là đã được ủy quyền, dẫn đến lỗi trong quá trình xác thực (@grpc/grpc-js-xds có thể rơi vào điều kiện này khi RBAC authentication được bật trong các cấu hình bị ảnh hưởng). Vấn đề này đã được sửa chữa trong phiên bản 1.14.5 và 1.13.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.