CVE-2026-33186

CVE-2026-33186 gRPC-Go RBAC 授权策略绕过：缺少 :path 斜杠（认证绕过） 描述 google.golang.org/grpc 中的 authz 包通过 SDK 级 RBAC 授权实现，使用 deny 和 allow 规则匹配 :path 伪标头。HTTP/2 服务端传输层直接存储来自客户端的原始 :path 值，而不验证其是否以 / 开头。路由层（handleStream）在分发前会对路径进行规范化，但 RBAC 引擎通过 grpc.Methodctx 从上下文中读取的是规范化之前的值。 Deny 规则写作 /Service/Method（带有前导斜杠）。...

Exploit for CVE-2026-33186

CVE-2026-33186 gRPC-Go RBAC Authorization Policy Bypass via M...

MAL-2025-3818 Malicious code in auth0-authz (npm)

--- -= Per source details. Do not edit below this line.=- Source: ghsa-malware e5de2600b08c1473abec0bac3c49bbcd4fa9626350cd3eb9c2d325cda30b0381 Any computer that has this package installed or running should be considered fully compromised. All secrets and keys stored on that computer should be...