PT-2026-146090
CVE-2026-126367
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@grpc/grpc-js-xds الإصدارات السابقة لـ 1.13.2
@grpc/grpc-js-xds الإصدارات من 1.14.0 إلى 1.14.1
Description
في مكونات
SafeRegexValueMatcher و PathSafeRegexValueMatcher يتم إضافة مثبتات البداية والنهاية إلى عمليات التناوب (alternations) ذات المستوى الأعلى المقدمة دون تجميع صحيح. يؤدي ذلك إلى جعل التعبير النمطي يطابق البادئة أو السلسلة الفرعية أو اللاحقة بدلاً من القيم الكاملة المقصودة. يؤثر هذا السلوك على اختيار المسار، ومطابقة هوية اعتماد xDS، وقواعد RBAC التي تتضمن url path وأسماء principals وأسماء الخوادم وقواعد الرأس (header rules). وبناءً على ذلك، قد تمنح سياسة ALLOW التي تستخدم التناوب وصولاً غير صحيح إلى طرق أو هويات شهادات أو قيم رأس خارج المجموعة المقصودة، بينما تصبح سياسات DENY أكثر شمولاً. تحدث هذه المشكلة لأن المثبتات ترتبط فقط بالفرع الأول والأخير من التناوب بدلاً من المجموعة بأكملها.Recommendations
تحديث @grpc/grpc-js-xds إلى الإصدار 1.13.2.
تحديث @grpc/grpc-js-xds إلى الإصدار 1.14.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾