CVE-2026-101916
Açıklama
@grpc/grpc-js, gRPC'nin temel işlevselliğini bir C++ eklentisi olmadan tamamen JavaScript ile uygular. 1.13.6 ve 1.14.5 sürümlerinden önce, sunucu kimlik bilgileri requireClientCertificate değerini false olarak ayarladığında, getAuthContext yetkili ve yetkisiz eş sertifikalarını birbirinden ayırmaz. Uygulamalar döndürülen kimlik doğrulama bağlamını kullandıklarında, yetkisiz bir sertifikayı yetkili olarak değerlendirebilirler ve bu durum hatalı kimlik doğrulamaya neden olur. @grpc/grpc-js-xds, etkilenen yapılandırmalarda RBAC kimlik doğrulaması etkinleştirildiğinde bu duruma ulaşabilir. Bu sorun 1.14.5 ve 1.13.6 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- @grpc/grpc-js1.13.6, 1.14.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @grpc/grpc-jsnpm | v < 1.13.6, 1.14.0 ≤ v < 1.14.5 | 1.13.6, 1.14.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.