CVE-2026-31908

Header injection w pluginie forward-auth Apache APISIX

CVSS 9.1v3.1pub. 2026-04-14upd. 2026-04-17

Podatność typu header injection w Apache APISIX pozwala nieuwierzytelnionemu atakującemu na wstrzykiwanie złośliwych nagłówków HTTP poprzez odpowiednią konfigurację pluginu forward-auth. Uzyskanie kontroli nad nagłówkami żądań może prowadzić do naruszenia poufności i integralności przetwarzanych danych.

▸ Pokaż oryginał (EN)

Header injection vulnerability in Apache APISIX. The attacker can take advantage of certain configuration in forward-auth plugin to inject malicious headers. This issue affects Apache APISIX: from 2.12.0 through 3.15.0. Users are recommended to upgrade to version 3.16.0, which fixes the issue.

🤖 Analiza AI

Jak działa

Atakujący wykorzystuje określoną konfigurację pluginu forward-auth w Apache APISIX, aby wstrzyknąć złośliwe nagłówki HTTP do przesyłanych żądań. Plugin forward-auth odpowiada za delegowanie autoryzacji do zewnętrznych serwisów — manipulacja nagłówkami w tym etapie może pozwolić na obejście mechanizmów uwierzytelniania lub podmianę danych przekazywanych do backendu. Podatność jest sklasyfikowana jako CWE-75 (nieodpowiednia neutralizacja znaków specjalnych w nagłówkach HTTP), co wskazuje na brak właściwej sanityzacji danych wejściowych.

Skutki

Atakujący może naruszyć poufność i integralność przetwarzanych żądań poprzez wstrzykiwanie arbitralnych nagłówków HTTP, co może prowadzić do obejścia mechanizmów autoryzacji lub manipulacji danymi przesyłanymi do chronionych serwisów backendowych.

Mitygacja

Należy zaktualizować Apache APISIX do wersji 3.16.0, która zawiera poprawkę eliminującą opisaną podatność. Szczegółowe informacje dostępne są w oficjalnym ogłoszeniu projektu Apache pod adresem wskazanym w referencjach.