Ziyue

Authentication bypass by spoofing vulnerability in Apache APISIX. On a route where multi-auth falls back from wolf-rbac to another successful authenticator, client-supplied Wolf identity headers can remain in the request. A downstream service that relies on those documented headers may therefore receive an identity that was not established by the successful authenticator. This issue affects Apache APISIX: from 3.8.0 through 3.19.0. Users are recommended to upgrade to version 3.20.0, which fixes the issue.

The `batch-requests` plugin contains a flaw where resources are allocated without limits or throttling. An unauthenticated caller can cause a gateway worker to experience Out of Memory (OOM)—a state where the system exhausts its available RAM—by targeting a route that utilizes the `batch-requests` plugin and has the `batch` endpoint publicly exposed.

An issue exists where the use of non-canonical URL paths for authorization decisions allows a crafted encoded path to reach an upstream endpoint. In configurations where a permissive route overlaps a protected one, requests that should be rejected are served instead, granting unauthenticated access to a protected upstream endpoint.

تقبل واجهة RPC الخلفية `/services/request-service` عنوان URL يتحكم فيه المهاجم من أي عميل متصل بنقطة نهاية المراسلة القياسية `/services`. يقوم الخادم بتنفيذ طلب HTTP وإرجاع نص الاستجابة الكامل إلى المتصل. ونظرًا لعدم التحقق من صحة عنوان URL الوجهة أو إدراجه في قائمة المواقع المسموح بها، يمكن للمهاجم عن بُعد الذي لديه وصول إلى اتصال الخدمة تنفيذ طلبات HTTP من جانب الخادم إلى localhost أو مضيفات الخلفية الأخرى التي يمكن الوصول إليها. وقد يؤدي ذلك إلى كشف نقاط نهاية إدارية داخلية، وخدمات بيانات تعريف مثيلات السحابة، وموارد أخرى تقع خارج حدود شبكة المتصفح. تؤثر هذه المشكلة بشكل أساسي على عمليات النشر متعددة المستأجرين أو التي يمكن الوصول إليها علنًا.