CVE-2026-87849

Nome do Software Vulnerável e Versões Afetadas Apache bRPC versões anteriores a 1.18.0

Description O analisador de respostas do serviço de nomes Discovery falha ao validar se os valores JSON são objetos antes de chamar os acessores exclusivos de objeto do RapidJSON. Uma resposta malformada contendo entradas que não sejam objetos nos membros de dados, serviços ou lista de instâncias pode desencadear uma leitura de memória fora dos limites, potencialmente travando o cliente. Isso ocorre nas funções DiscoveryNamingService::GetServers() e DiscoveryNames::ListDiscoveryNodes() no arquivo src/brpc/policy/discovery naming service.cpp. O problema pode ser acionado se um backend Discovery comprometido ou mal configurado retornar respostas malformadas através dos endpoints '/discovery/nodes' ou '/discovery/fetchs'.

Recommendations Atualize o Apache bRPC para a versão 1.18.0 ou posterior.