BDU:2026-08920

Опубликовано: 19 июн. 2026

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость плагина jwt-auth облачного API-шлюза Apache APISIX связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Вендор

Apache Software Foundation

Наименование ПО

APISIX

Версия ПО

от 2.12.0 до 3.16.0 включительно (APISIX)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://lists.apache.org/thread/nfopt8cnxd3k0rs1oxtr7lzxrdw4mojq

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-39999
CVE

EPSS

Процентиль: 35%

0.00424

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2026-39999

CVSS3: 9.1

nvd

около 2 месяцев назад

Authentication Bypass by Spoofing vulnerability in Apache APISIX. The attacker can completely bypass authentication capitalising on certain configurations of jwt-auth plugin. This issue affects Apache APISIX: from v2.2 through v3.16.0. Users are recommended to upgrade to version v3.17.0, which fixes the issue.

GHSA-pw26-hvcp-w6vj

CVSS3: 9.1

github

около 2 месяцев назад

EPSS

Процентиль: 35%

0.00424

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2