CVE-2026-128065

Nome do Software Vulnerável e Versões Afetadas @grpc/grpc-js versões 1.14.0 through 1.14.1

Description No componente XdsServer do @grpc/grpc-js-xds, o sistema pode reconhecer recursos de Route e VirtualHost, mas falhar ao aplicar suas configurações de override RBACPerRoute. Isso ocorre porque o parser de override não está registrado sob o tipo de mensagem de override, os mapas de override são armazenados sob uma URL de tipo em vez do nome do filtro HTTP configurado, e os mapas de override de VirtualHost não são lidos. Quando o RBAC (Controle de Acesso Baseado em Função) experimental está habilitado e um plano de controle xDS confiável fornece uma política ALLOW de nível superior ampla com um override de correspondência mais rigoroso, os servidores afetados podem avaliar RPCs sob a política ampla e aceitar solicitações que deveriam ser negadas.

Recommendations Atualize o @grpc/grpc-js para a versão 1.14.2.