CVE-2026-124679

Nome do Software Vulnerável e Versões Afetadas Apache APISIX versões 3.18.0 through 3.19.0

Description Existe um problema de bypass de autenticação onde um cliente não autenticado pode falsificar um cabeçalho de identidade. Isso ocorre em rotas que utilizam jwe-decrypt quando strict está definido como false e um forward header é distinto do cabeçalho do token, permitindo que o cliente forneça um valor que o upstream trata como texto simples descriptografado pelo gateway. Um cenário semelhante ocorre quando o forward-auth é configurado com allow degradation definido como true e o serviço de autenticação está indisponível.

Recommendations Atualizar para a versão 3.20.0.