Authorization bypass via path binding override in elixir-grpc/grpc HTTP transcoding

Üreticinin bildirdiği sürümler

Kaydı açan otorite (EEF) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• elixir-grpc grpc

  • 0.8.0 ve sonrası · 1.0.0 öncesietkilenir · semver
  • 8aaf3d3a8c4c7b08ac65e9c6f254e0d24da1d048 ve sonrası · 33b6a095dbc91c6dee3c7b90893d7d74952e82e4 öncesietkilenir · git

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2026-48853Remote code execution and denial of service via unsafe Erlang term deserialization in elixir-grpc/grpc
  36İzleyin
• CVE-2026-53430grpc gzip decompression bomb in GRPC.Compressor.Gzip.decompress/1
  34İzleyin
• CVE-2026-48854Unbounded request body accumulation causes memory exhaustion in elixir-grpc/grpc
  34İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Uç nokta kaydı istekte gelen kimlikle getiriyor, ama kaydın isteyen kullanıcıya ait olup olmadığını sormuyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.