CVE-2026-124278

Nome do Software Vulnerável e Versões Afetadas grpc server versões 1.0.0 até 1.0.9 grpc versões 0.8.0 até 0.9.9

Description Ocorre uma falha de bypass de autorização quando um manipulador atua em um recurso diferente daquele especificado na URL de uma rota transcodificada por HTTP. Isso acontece porque a função GRPC.Server.do handle request/4 aplica as vinculações de caminho da rota à mensagem de solicitação apenas durante a transcodificação HTTP. Se uma solicitação for enviada com o Content-Type application/grpc ou application/grpc-web, o sistema decodifica a mensagem apenas a partir do corpo, ignorando as vinculações de caminho. Consequentemente, um gateway de segurança ou WAF que autoriza a solicitação com base no caminho da URL pode ver um recurso, enquanto o manipulador processa outro com base no conteúdo do corpo. Isso permite que um invasor potencialmente acesse ou modifique recursos pertencentes a outros usuários ou locatários.

Recommendations Atualize o grpc server para a versão 1.1.0 ou posterior. Atualize o grpc para a versão 1.0.0 ou posterior.