Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-08935

Опубликовано: 19 июн. 2026
Источник: fstec
CVSS3: 9.3
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость плагина cas-auth облачного API-шлюза Apache APISIX связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить CSRF-атаку

Вендор

Apache Software Foundation

Наименование ПО

APISIX

Версия ПО

от 3.0.0 до 3.16.0 включительно (APISIX)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://lists.apache.org/thread/1ozsnss0lof4gpwq763d66oxwxt3sycp

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 17%
0.00261
Низкий

9.3 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.3
nvd
около 2 месяцев назад

Cross-Site Request Forgery (CSRF) vulnerability in the cas-auth plugin under default configurations. This defect allows a remote attacker that manages to send a victim to a webpage controlled by them can cause the victim's browser to become authenticated as a different identity. Actions the victim takes upstream are then attributed to attackers identity. This issue affects Apache APISIX: from 3.0.0 through 3.16.0. Users are recommended to upgrade to version 3.17.0, which fixes the issue.

CVSS3: 9.3
github
около 2 месяцев назад

Cross-Site Request Forgery (CSRF) vulnerability in the cas-auth plugin under default configurations. This defect allows a remote attacker that manages to send a victim to a webpage controlled by them can cause the victim's browser to become authenticated as a different identity. Actions the victim takes upstream are then attributed to attackers identity. This issue affects Apache APISIX: from 3.0.0 through 3.16.0. Users are recommended to upgrade to version 3.17.0, which fixes the issue.

EPSS

Процентиль: 17%
0.00261
Низкий

9.3 Critical

CVSS3

9.4 Critical

CVSS2