Relative Path Traversal, with Unintended Proxy vulnerability in Apache APISIX. Вызывающий конечную точку MCP может вызывать конечные точки, которые документ OpenAPI никогда не объявлял, в соответствии с методом HTTP объявленного инструмента, используя учетные данные, которые добавляет Route. Эта проблема затрагивает Apache APISIX: от 3.19.0 до 3.20.0.
Пользователям рекомендуется перейти на версию 3.20.0, которая исправляет проблему.
Показать оригинальное описание (EN)
Relative Path Traversal, with Unintended Proxy vulnerability in Apache APISIX. A caller of the MCP endpoint can invoke endpoints the OpenAPI document never declared, under the declared tool's HTTP method, using the credentials the Route adds. This issue affects Apache APISIX: from 3.19.0 before 3.20.0. Users are recommended to upgrade to version 3.20.0, which fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v4.0