CVE-2026-94220
NiskieCVSS 2.1Streszczenie
Podatność CSRF w wtyczkach feishu-auth i dingtalk-auth w Apache APISIX. Atakujący, który nakłoni użytkownika do kliknięcia spreparowanego linku, może spowodować ustanowienie sesji przeglądarki użytkownika na chronionej trasie pod tożsamością atakującego zamiast własnej. Wszelkie działania użytkownika w tej sesji, w tym przesyłanie plików, przesyłanie formularzy i powiązania kont, trafiają na konto atakującego. Problem dotyczy Apache APISIX od 3.17.0 do 3.18.0.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika na chronionych trasach, co może prowadzić do nieautoryzowanych działań, takich jak przesyłanie plików lub powiązywanie kont, w imieniu użytkownika.
Rekomendacja
Zaktualizuj Apache APISIX do wersji 3.19.0, która zawiera poprawkę. Dodatkowo edukuj użytkowników o ryzyku klikania w nieznane linki.
Inne podatności w Apache APISIX
Zobacz wszystkie- CVE-2026-94276Średnie
Apache APISIX w wersjach od 3.12.0 do 3.18.0 zawiera podatność na nieprawidłowe uwierzytelnianie w pluginie openid-connect. Token, który jest aktywny dla jednego wystawcy, może zostać zaakceptowany na trasie ograniczonej do innego wystawcy, gdy używany jest zdalny introspection.
- CVE-2026-94269Średnie
Apache APISIX w wersjach od 2.14.1 do 3.18.0 zawiera podatność na użycie niekanonicznych ścieżek URL w decyzjach autoryzacyjnych. W niektórych konfiguracjach, gdzie permisywna trasa nakłada się na chronioną, zakodowana ścieżka może dotrzeć do upstreamu, którego polityki nie obejmują, umożliwiając nieuwierzytelniony dostęp.
- CVE-2026-94250Wysokie
Wtyczka batch-requests w Apache APISIX pozwala na alokację zasobów bez ograniczeń lub throttlingu. Nieuwierzytelniony atakujący może doprowadzić proces roboczy bramy do wyczerpania pamięci (OOM) poprzez trasę korzystającą z tej wtyczki, jeśli endpoint batch jest publicznie dostępny. Problem dotyczy wersji od 1.3.0 do 3.18.0.
- CVE-2026-94212Średnie
Apache APISIX w wersjach od 3.17.0 do 3.18.0 zawiera podatność na nieprawidłową weryfikację podpisu kryptograficznego w pluginie saml-auth. Nieuwierzytelniony atakujący może podszyć się pod dowolnego użytkownika na trasach chronionych tym pluginem w domyślnej konfiguracji.
- CVE-2026-82806Średnie
Podatność w Apache APISIX polegająca na ekspozycji danych do niewłaściwej sesji. W pewnych konfiguracjach authz-keycloak, zakres autoryzacji żądania może utrzymywać się w kolejnych żądaniach na tej samej trasie, prowadząc do nieautoryzowanego rozszerzenia uprawnień i niespójnych decyzji kontroli dostępu. Problem dotyczy wersji od 2.3.0 do przed 3.7.0.
- CVE-2026-78242Średnie
Podatność w Apache APISIX 3.17.0 powoduje zapisywanie niezmaskowanych wartości nagłówków do dziennika (log sink) w określonej strukturze odpowiedzi. Problem został naprawiony w wersji 3.18.0.
- CVE-2026-49230Krytyczne
Podatność związana z niewłaściwą walidacją wartości sprawdzania integralności w Apache APISIX umożliwia obejście uwierzytelniania wtyczki jwe-decrypt w domyślnej konfiguracji. Problem dotyczy wersji od 3.8.0 do 3.16.0.
- CVE-2026-39999Krytyczne
Podatność na obejście uwierzytelnienia poprzez spoofing w Apache APISIX pozwala atakującemu na całkowite ominięcie procesu uwierzytelniania, wykorzystując określone konfiguracje wtyczki jwt-auth. Problem dotyczy wersji Apache APISIX od v2.2 do v3.16.0.
- CVE-2022-24112KrytyczneAktywnie exploitowane
W Apache APISIX atakujący może wykorzystać wtyczkę batch-requests do obejścia ograniczeń IP interfejsu Admin API. Domyślna konfiguracja (z domyślnym kluczem API) jest podatna na zdalne wykonanie kodu; nawet po zmianie klucza lub portu istnieje ryzyko obejścia ograniczeń IP panelu danych z powodu błędu w kodzie sprawdzającym adres klienta.
- CVE-2026-75020Wysokie
Apache APISIX w wersjach od 2.11.0 do 3.17.0 zawiera podatność na wstrzykiwanie LDAP (LDAP Injection). Osoba posiadająca ważne poświadczenia dla jednego wpisu w katalogu LDAP może uwierzytelnić się jako inny konsument, którego zakres konfiguracji miał wykluczać.
Oryginalny opis (angielski, źródło NVD)
Cross-Site request forgery (CSRF) vulnerability in feishu-auth and dingtalk-auth plugins in Apache APISIX. An attacker who can get a user to click a crafted link may cause that user's browser session on a protected route to be established under the attacker's identity instead of their own. Any work the user then performs in that session, including uploads, form submissions, and account bindings, lands in the attacker's account. This issue affects Apache APISIX: from 3.17.0 through 3.18.0. Users are recommended to upgrade to version 3.19.0, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS