Apache · Apache Pulsar · CVE-2021-41571
**Nome do software vulnerável e versões afetadas**
Versões do Apache Pulsar anteriores à 2.8.1
Versões do Apache Pulsar anteriores à 2.7.4
Versões do Apache Pulsar anteriores à 2.6.5
**Descrição**
A vulnerabilidade permite o acesso a dados do BookKeeper que não pertencem aos tópicos acessíveis pelo usuário autenticado. A API de administração “get-message-by-id” exige que o usuário insira um tópico e um `ledger id`. O `ledger id` é um ponteiro para os dados e deve ser um ID válido para o tópico. No entanto, os controles de autorização são realizados com base no nome do tópico, e não há validação adequada de que o `ledger id` seja válido no contexto desse ledger. Isso pode permitir que um usuário leia um ledger que contenha dados pertencentes a outro locatário.
**Recomendações**
Para versões do Apache Pulsar anteriores à 2.8.1, atualize para a versão 2.8.1 ou posterior.
Para versões do Apache Pulsar anteriores à 2.7.4, atualize para a versão 2.7.4 ou posterior.
Para versões do Apache Pulsar anteriores à 2.6.5, atualize para a versão 2.6.5 ou posterior.