CVE-2026-101915
Publiée le 2026-09-28 · Dernière modification le 2026-10-01
Les applications utilisant la bibliothèque `@grpc/grpc-js` sont susceptibles de divulguer des données internes sensibles si un gestionnaire côté serveur génère une erreur non interceptée. Un attaquant distant non authentifié peut déclencher ce phénomène en envoyant des requêtes spécifiquement conçues, bien que l'extraction d'informations utiles soit difficile. Cela entraîne une divulgation d'informations à faible impact plutôt qu'une compromission complète du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@grpc/grpc-js implements the core functionality of gRPC purely in JavaScript, without a C++ addon. Prior to 1.13.6 and 1.14.5, when an application method handler throws an uncaught error, the server includes its error message in the status message sent to the client. The thrown error message is transmitted to the client, causing sensitive information disclosure when the message contains sensitive data. This issue is fixed in versions 1.13.6 and 1.14.5.