CVE-2026-101915 in grpc-js

摘要

由 VulDB • 2026-09-28

@grpc/grpc-js 完全使用 JavaScript 实现了 gRPC 的核心功能，无需 C++ 插件。在版本 1.13.6 和 1.14.5 之前，当应用程序方法处理程序抛出未捕获的错误时，服务器会将错误消息包含在发送给客户端的状态消息中。抛出的错误消息被传输到客户端，导致敏感信息泄露（如果该消息包含敏感数据）。此问题已在版本 1.13.6 和 1.14.5 中得到修复。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: GitHub M
• 预定: 2026-09-28
• 披露: 2026-09-28
• 管理: 已接受
• 条目: VDB-411162
• CPE: 准备好
• CWE: CWE-200 (已确认)
• CVSS: 3.7 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-101915
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-101915
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-101915/