Ошибка авторизации в Apache APISIX. Аутентифицированный пользователь, у которого есть любое из требуемых разрешений или областей маршрута, может достичь защищенного восходящего потока без других, включая методы HTTP, в которых сервер авторизации отказал. Эта проблема затрагивает Apache APISIX: от 1.4.0 до 3.19.0.
Пользователям рекомендуется перейти на версию 3.20.0, которая исправляет проблему.
Показать оригинальное описание (EN)
Incorrect Authorization vulnerability in Apache APISIX. An authenticated user who holds any one of a route's required permissions or scopes can reach the protected upstream without the others, including HTTP methods the authorization server denied. This issue affects Apache APISIX: from 1.4.0 through 3.19.0. Users are recommended to upgrade to version 3.20.0, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v4.0