p PatchFirst

PatchFirst · Aktuelle Sicherheitslücken

Sicherheitslücken in @grpc/grpc-js

In den letzten 30 Tagen veröffentlichte Sicherheitslücken für @grpc/grpc-js: 0. Davon im KEV-Katalog: 0.

RSS ↗ JSON ↗
Sicherheitslücken filtern
Filter zurücksetzen

Sicherheitslücken: 6

  1. CVE-2026-101916

    Hoch · CVSS 7.4EPSS 0,21%Korrektur verfügbar

    @grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized

    @grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, getAuthContext does not distinguish authorized from unauthorized peer certificates when server credentials set requireClientCertificate to false. When applications use the returned authentication context, they can treat an unauthorized certificate as authorized, causing improper authentication. @grpc/grpc-js-xds can reach this condition when RBAC authentication is enabled in affected configurations. This issue is fixed in version 1.14.5 and 1.13.6.

    @grpc/grpc-js @grpc/grpc-jsNode.js
    • Auf 1.13.6 aktualisieren
    • Auf 1.14.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  2. CVE-2026-101915

    Niedrig · CVSS 3.7EPSS 0,25%Korrektur verfügbar

    @grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages

    @grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, when an application method handler throws an uncaught error, the server includes its error message in the status message sent to the client. The thrown error message is transmitted to the client, causing sensitive information disclosure when the message contains sensitive data. This issue is fixed in versions 1.13.6 and 1.14.5.

    @grpc/grpc-js @grpc/grpc-jsNode.js
    • Auf 1.13.6 aktualisieren
    • Auf 1.14.5 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  3. CVE-2026-48069

    Hoch · CVSS 7.5EPSS 0,88%Korrektur verfügbar

    @grpc/grps-js: An incoming malformed compressed message can cause a client or server crash

    @grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming compressed message can cause a client or server process that uses @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.

    @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-jsNode.js
    • Auf 1.10.12 aktualisieren
    • Auf 1.11.4 aktualisieren
    • Auf 1.12.7 aktualisieren
    • Auf 1.13.5 aktualisieren
    • Auf 1.14.4 aktualisieren
    • Auf 1.9.16 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  4. CVE-2026-48068

    Hoch · CVSS 7.5EPSS 0,88%Korrektur verfügbar

    @grpc/grps-js: A malformed request can cause a server crash

    @grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4, an invalid incoming HTTP/2 stream initiation can cause a server process created using @grpc/grpc-js to crash. This issue is fixed in versions 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, and 1.14.4.

    @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-js @grpc/grpc-jsNode.js
    • Auf 1.10.12 aktualisieren
    • Auf 1.11.4 aktualisieren
    • Auf 1.12.7 aktualisieren
    • Auf 1.13.5 aktualisieren
    • Auf 1.14.4 aktualisieren
    • Auf 1.9.16 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

  5. CVE-2024-37168

    Mittel · CVSS 5.3EPSS 0,67%Korrektur verfügbar

    @grpc/grpc-js can allocate memory for incoming messages well above configured limits

    @grpc/grps-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to versions 1.10.9, 1.9.15, and 1.8.22, there are two separate code paths in which memory can be allocated per message in excess of the `grpc.max_receive_message_length` channel option: If an incoming message has a size on the wire greater than the configured limit, the entire message is buffered before it is discarded; and/or if an incoming message has a size within the limit on the wire but decompresses to a size greater than the limit, the entire message is decompressed into memory, and on the server is not discarded. This has been patc

    @grpc/grpc-js @grpc/grpc-js @grpc/grpc-jsNode.js
    • Auf 1.10.9 aktualisieren
    • Auf 1.8.22 aktualisieren
    • Auf 1.9.15 aktualisieren
    Veröffentlicht Aktualisiert
    Originalmeldung 1 ↗Originalmeldung 2 ↗Originalmeldung 3 ↗

Prüfen Sie Ihren Server

Gleichen Sie Ihren installierten Stack und seine Versionen mit den aktuellen Sicherheitsmeldungen ab.

Prüfen Sie Ihren Server →