PT-2026-147039
CVE-2026-124679
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
7.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache APISIX الإصدارات من 3.18.0 إلى 3.19.0
Description
توجد ثغرة لتجاوز المصادقة حيث يمكن لعميل غير مصرح له تزييف رأس الهوية. يحدث هذا في المسارات التي تستخدم
jwe-decrypt عندما تكون قيمة strict مضبوطة على false ويكون forward header مختلفًا عن رأس الرمز (token header)، مما يسمح للعميل بتزويد قيمة يعاملها النظام الخلفي (upstream) كنص واضح تم فك تشفيره بواسطة البوابة. يمكن أن يحدث سيناريو مماثل عندما يتم تكوين forward-auth مع ضبط allow degradation على true وتكون خدمة المصادقة غير متاحة.Recommendations
التحديث إلى الإصدار 3.20.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾