CVE-2026-63041: Apache APISIX: attach-consumer-label não remove cabeçalhos consumer-label fornecidos pelo cliente

Tradução automática do conteúdo disponibilizado no feed de oss-sec. Original: https://seclists.org/oss-sec/2026/q3/589

Publicado por Abhishek Choudhary em 25 de agosto
Severidade:
Versões afetadas:
- Apache APISIX 3.11.0 até 3.17.0
Descrição:
Vulnerabilidade de dependência em entradas não confiáveis em uma decisão de segurança no Apache APISIX. Essa vulnerabilidade permite que um atacante escale privilégios ou realize um bypass de autorização ao enviar determinados valores que o plugin attach-consumer-label não sanitiza corretamente. Esse problema afeta o Apache APISIX das versões 3.11.0 a 3.17.0. Recomenda-se aos usuários que...