CVE-2026-48069

@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScripcie, bez dodatku C++. W wersjach przed 1.13.6 i 1.14.5 funkcja getAuthContext nie rozróżnia autoryzowanych od nieautoryzowanych certyfikatów równorzędnych, gdy poświadczenia serwera ustawiają requireClientCertificate na false. Gdy aplikacje używają zwróconego kontekstu uwierzytelniania, mogą traktować nieautoryzowany certyfikat jako autoryzowany, powodując nieprawidłowe uwierzytelnienie. @grpc/grpc-js-xds może osiągnąć ten stan, gdy w podatnych konfiguracjach włączone jest uwierzytelnianie RBAC.

W bibliotece @grpc/grpc-js przed wersjami 1.13.6 i 1.14.5, gdy procedura obsługi metody aplikacji zgłosi nieprzechwycony błąd, serwer dołącza jego komunikat do statusu wysyłanego do klienta. Powoduje to ujawnienie informacji wrażliwych, jeśli komunikat błędu zawiera dane poufne.

@grpc/grpc-js implementuje podstawową funkcjonalność gRPC w czystym JavaScript, bez dodatku C++. Przed wersjami 1.13.1 i 1.14.1, dopasowywacz dokładnej ścieżki (nazwy metody) używany przez RBAC wykonuje porównanie prefiksu zamiast porównania równości, gdy włączone jest dopasowanie bez uwzględniania wielkości liter. Jeśli jedna nazwa metody usługi jest prefiksem innej i metody mają różne reguły dostępu, żądanie dla dłuższej metody może dopasować regułę krótszej metody i spowodować nieprawidłową autoryzację. Problem naprawiono w wersjach 1.13.1 i 1.14.1.

Podatność w bibliotece @grpc/grpc-js umożliwia zdalne wywołanie awarii serwera poprzez wysłanie nieprawidłowego żądania inicjującego strumień HTTP/2. Problem dotyczy wersji przed 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5 i 1.14.4.