CVE-2026-84748

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description Uma autorização incorreta permite que atacantes remotos acessem serviços integrados através da porta pública. Embora o ServerOptions.internal port seja destinado a restringir serviços integrados e Tabbed à porta interna, os caminhos de despacho de protocolos baseados em protobuf (incluindo baidu std, hulu pbrpc, sofa pbrpc, public pbrpc, nshead mcpack, nova pbrpc e ubrpc2pb) calculam a flag security mode, mas não a aplicam entre a resolução do método e a invocação. Consequentemente, clientes que acessam a porta pública podem invocar serviços integrados, como brpc.vars ou hotspots, para revelar informações sensíveis de tempo de execução, incluindo métricas, flags e dados do profiler.

Recommendations Atualizar o Apache bRPC para a versão 1.18.0. Aplicar o patch oficial para o problema de autorização.