@grpc/grpc-js: The exact path match matcher incorrectly only applies a prefix match for case-insensitive matches
Impact
When using RBAC to apply authentication rules, the exact path (method name) matcher applies a prefix match instead of an exact match for case-insensitive matches. As a result, if a service has a method with a name that is a prefix of the name of a different method, and they have different access rules, and case-insensitive matching is used, this bug can cause improper authentication.
Patches
This vulnerability is fixed in 1.13.1 and 1.14.1.
Workarounds
This problem can be avoided by enabling case-sensitive path matching.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @grpc/grpc-js-xds | < 1.13.1, >= 1.14.0, < 1.14.1 | 1.13.1, 1.14.1 |
Referencias
- https://github.com/grpc/grpc-node/security/advisories/GHSA-88h9-xgvx-hvf2
- https://github.com/grpc/grpc-node/commit/6cf64b596da03f1942a6b168998f0670217a99c4
- https://github.com/grpc/grpc-node/commit/a6c5b31180cc8cea94d0a5ea215ce31a49e0409f
- https://github.com/grpc/grpc-node/commit/f32f3712e44581d8dfc8359bd8d30096662f4c75
- https://github.com/grpc/grpc-node
- https://github.com/grpc/grpc-node/releases/tag/@grpc/grpc-js-xds/1.13.1
- https://github.com/grpc/grpc-node/releases/tag/@grpc/grpc-js-xds/1.14.1
- https://github.com/grpc/grpc-node/releases/tag/@grpc/grpc-js-xds%401.13.1
- https://github.com/grpc/grpc-node/releases/tag/@grpc/grpc-js-xds%401.14.1
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N- Debilidad (CWE)
CWE-187, CWE-863- Plataforma
- npm
- Paquete
@grpc/grpc-js-xds- Publicada
- 28.09.2026
- Actualizado
- 14.10.2026 08:17
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-88h9-xgvx-hvf2 - CC BY 4.0
Historial de vulnerabilidades: @grpc/grpc-js-xds
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.