CVE-2026-126367

Nome do Software Vulnerável e Versões Afetadas @grpc/grpc-js-xds versões anteriores a 1.13.2 @grpc/grpc-js-xds versões 1.14.0 a 1.14.1

Description Nos componentes SafeRegexValueMatcher e PathSafeRegexValueMatcher, âncoras de início e fim são adicionadas a alternâncias de nível superior fornecidas sem o agrupamento adequado. Isso faz com que a expressão regular corresponda a prefixos, substrings ou sufixos em vez dos valores completos pretendidos. Este comportamento afeta a seleção de rotas, a correspondência de identidade de credenciais xDS e regras de RBAC envolvendo url path, nomes de principal, nomes de servidor e regras de cabeçalho. Consequentemente, uma política ALLOW usando alternância pode conceder incorretamente acesso a métodos, identidades de certificado ou valores de cabeçalho fora do conjunto pretendido, enquanto as políticas DENY podem se tornar mais abrangentes. O problema ocorre porque as âncoras se vinculam apenas ao primeiro e ao último ramo da alternância, em vez de ao grupo inteiro.

Recommendations Atualize o @grpc/grpc-js-xds para a versão 1.13.2. Atualize o @grpc/grpc-js-xds para a versão 1.14.2.