Veille sécuritéBackend & données
P4Moyenne
Dans @grpc/grpc-js, le comparateur exact de chemin utilisé par RBAC peut effectuer une comparaison de préfixe lorsque la correspondance insensible à la casse est activée. Si un nom de méthode en préfixe possède des règles d’accès différentes, une requête visant une méthode plus longue peut recevoir la règle de la méthode plus courte ; les versions corrigées indiquées sont 1.13.1 et 1.14.1.
JavaScriptNode.js
IdentifiantCVE-2026-101914
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.13.1 et 1.14.1
Source : NVD — CVE-2026-101914
Analyse technique
Avec la correspondance insensible à la casse, le vérificateur RBAC compare un préfixe au lieu d’exiger l’égalité exacte du chemin de méthode.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-09-28T20:17:09.453Z, dans la période demandée. Le candidat décrit un défaut d’autorisation et ses versions corrigées.
ImpactUne requête peut être évaluée selon les règles d’accès d’une autre méthode, ce qui entraîne une autorisation incorrecte.
Versions affectéesVersions antérieures à 1.13.1 et à 1.14.1
Version corrigée1.13.1 et 1.14.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-09-28T20:17:09.453Z
Mise à jour2026-09-28T20:17:09.453Z
Action recommandée
Mettre à niveau vers @grpc/grpc-js 1.13.1 ou 1.14.1, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 2 source(s).