Интерпретация Conflict, приводящая к неправильной уязвимости авторизации в Apache APISIX. С включенным match_uri_encoded_slash и настроенным skip_mtls_uri_regex, клиент без сертификата может достичь верхнего уровня за маршрутом, который требует его, ограниченный запросом путей, которые декодируются в освобожденный URI. Эта проблема затрагивает Apache APISIX: от 3.18.0 до 3.19.0.
Пользователям рекомендуется перейти на версию 3.20.0, которая исправляет проблему.
Показать оригинальное описание (EN)
Interpretation Conflict, leading to Incorrect Authorization vulnerability in Apache APISIX. With match_uri_encoded_slash enabled and skip_mtls_uri_regex configured, a client without a certificate can reach an upstream behind a route that requires one, limited to request paths that decode to an exempted URI. This issue affects Apache APISIX: from 3.18.0 through 3.19.0. Users are recommended to upgrade to version 3.20.0, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v4.0