**Nome do software vulnerável e versões afetadas:
Versões 1.18.2 e anteriores do Envoy
Descrição:
O Envoy não decodifica sequências de barras escapadas `%2F` e `%5C` em caminhos de URL HTTP. Um invasor remoto pode criar um caminho com barras escapadas, por exemplo, `/something%2F..%2Fadmin`, para contornar o controle de acesso, como um bloqueio em `/admin`. Isso poderia permitir que um invasor acessasse além do escopo previsto pela política de controle de acesso, levando potencialmente à escalada de privilégios ao usar filtros RBAC ou JWT com aplicação baseada no caminho da URL. Usuários com servidores back-end que interpretam `%2F`, `/`, `%5C` e `` de forma intercambiável são afetados. O vetor de ataque envolve caminhos de URL contendo caracteres de barra escapados enviados por clientes não confiáveis.
Recomendações:
Para as versões 1.18.2 e anteriores do Envoy, atualize para a versão 1.18.3, 1.17.3, 1.16.4 ou 1.15.5, que contêm uma nova opção de normalização de caminho para decodificar caracteres de barra escapados. Como solução alternativa temporária, considere reconfigurar o servidor back-end para não tratar `%2F` e `/` e `%5C` e `` de forma intercambiável, caso o controle de acesso baseado em caminho de URL esteja configurado.