CVE-2026-37236

Nome do Software Vulnerável e Versões Afetadas grpc-gateway versão 2.28.0

Description Ocorre um Controle de Acesso Incorreto porque a aplicação processa o cabeçalho X-HTTP-Method-Override na função ServeMux.ServeHTTP() sem restringir os métodos permitidos. Quando uma requisição POST com Content-Type definido como application/x-www-form-urlencoded inclui este cabeçalho, o método da requisição é reescrito para um valor arbitrário fornecido pelo atacante antes do roteamento. Este comportamento permite a evasão de controles de acesso baseados em métodos impostos por Firewalls de Aplicação Web (WAFs) ou proxies upstream.

Recommendations Atualize o grpc-gateway versão 2.28.0 para uma versão mais recente que contenha a correção para este problema. Como medida de mitigação temporária, restrinja ou filtre o cabeçalho X-HTTP-Method-Override no nível do proxy ou WAF antes que ele chegue à aplicação.