Zaloguj się
Deutsch English Español Polski
Niska

@grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages

  • Ujawniono: 30.09.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

If an application method handler crashes, the error message is included in the status message sent to the client. This can leak to the client any sensitive data that may be included in the error message. This impacts anyone using @grpc/grpc-js to run servers.

Patches

This vulnerability is fixed in 1.13.6 and 1.14.5.

Workarounds

This can be avoided by using a top-level error handler in method handlers to strip out sensitive error information.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm @grpc/grpc-js < 1.13.6, >= 1.14.0, < 1.14.5 1.13.6, 1.14.5

Odnośniki

Ocena CVSS 3.7/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-550
Platforma
npm
Paczka
@grpc/grpc-js
Ujawniono
30.09.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f596-whhp-79r4 - CC BY 4.0

Historia podatności: @grpc/grpc-js

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
6
Pierwsza → ostatnia
05.2021 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 4
  • Średnia 1
  • Niska 1

Ujawnienia w latach

  1. @grpc/grpc-js: In certain configurations, getAuthContext can return unauthorized certificates as though they were authorized
    Wysoka · 7.4 CVE-2026-101916 < 1.13.6, >= 1.14.0, < 1.14.5 1.13.6, 1.14.5
  2. @grpc/grpc-js: The server transmits some error messages thrown by method handlers to the client in status messages ten wpis
    Niska · 3.7 CVE-2026-101915 < 1.13.6, >= 1.14.0, < 1.14.5 1.13.6, 1.14.5
  3. @grpc/grpc-js: A malformed request can cause a server crash
    Wysoka · 7.5 CVE-2026-48068 < 1.9.16, >= 1.10.0, < 1.10.12, >= 1.11.0, < 1.11.4, >= 1.12.0, < 1.12.7, >= 1.13.0, < 1.13.5, >= 1.14.0, < 1.14.4 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, 1.14.4
  4. @grpc/grpc-js: An incoming malformed compressed message can cause a client or server crash
    Wysoka · 7.5 CVE-2026-48069 < 1.9.16, >= 1.10.0, < 1.10.12, >= 1.11.0, < 1.11.4, >= 1.12.0, < 1.12.7, >= 1.13.0, < 1.13.5, >= 1.14.0, < 1.14.4 1.9.16, 1.10.12, 1.11.4, 1.12.7, 1.13.5, 1.14.4
  5. @grpc/grpc-js can allocate memory for incoming messages well above configured limits
    Średnia · 5.3 CVE-2024-37168 >= 1.10.0, < 1.10.9, >= 1.9.0, < 1.9.15, < 1.8.22 1.10.9, 1.9.15, 1.8.22
  6. Prototype pollution in grpc and @grpc/grpc-js
    Wysoka · 7.5 CVE-2020-7768 < 1.1.8 1.1.8

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.