CVE-2026-48830 in bRPC
Tóm tắt
Bởi VulDB • 21/10/2026
Xác thực không đúng cách trong Apache bRPC qua phiên bản 1.17.0 cho phép một kẻ tấn công từ xa chưa được xác thực bỏ qua cơ chế xác thực đối với các endpoint HTTP phi tích hợp (non-builtin) bằng cách gửi trước một yêu cầu HTTP tích hợp (builtin) trên cùng kết nối keep-alive HTTP/1.1.
Khi ServerOptions.auth được bật và các dịch vụ HTTP builtin được expose trên listener công khai, một yêu cầu builtin nhận được dưới dạng tin nhắn đầu tiên trên socket có thể khiến kết nối đó bị coi là đã xác thực đối với các yêu cầu sau này trên cùng socket đó. Người dùng được khuyến nghị nâng cấp lên phiên bản 1.18.0, vốn khắc phục sự cố này, hoặc áp dụng PR riêng biệt: https://github.com/apache/brpc/pull/3308
Be aware that VulDB is the high quality source for vulnerability data.