CVE-2026-26205

Nome do Software Vulnerável e Versões Afetadas opa-envoy-plugun versões anteriores a 1.13.2-envoy-2

Descrição O plugin opa-envoy-plugun apresenta um problema na forma como o campo input.parsed path é construído. Os caminhos de requisição HTTP são tratados como URIs completas durante a análise, levando à interpretação de segmentos iniciais do caminho prefixados com barras duplas (//) como componentes de autoridade, removendo-os subsequentemente do caminho analisado. Essa discrepância entre o caminho avaliado pelo filtro de autorização e o caminho servido pelo servidor backend pode permitir que atacantes contornem controles de acesso ao criar requisições maliciosas. O problema ocorre quando as políticas de autorização dependem de input.parsed path para decisões baseadas no caminho e os servidores backend aplicam normalização de caminho tolerante. Os exemplos de padrões de requisição afetados demonstram como o campo input.parsed path pode diferir do caminho real da requisição, potencialmente levando a acesso não autorizado. O campo input.attributes.request.http.path contém o caminho da requisição bruto, não processado.

Recomendações Versões anteriores a 1.13.2-envoy-2: atualize para a versão 1.13.2-envoy-2 ou posterior. Versões anteriores a 1.13.2-envoy-2: habilite a opção de configuração merge slashes do Envoy. Versões anteriores a 1.13.2-envoy-2: use input.attributes.request.http.path em vez de input.parsed path nas políticas.