Apache · Apache Apisix · CVE-2025-46647
Nome do Software Vulnerável e Versões Afetadas:
Versões do Apache APISIX anteriores à 3.12.0
Descrição:
Uma vulnerabilidade no plugin openid-connect do Apache APISIX permite que um atacante com uma conta válida em um emissor faça login em outro emissor, sob certas condições. Essas condições incluem o uso do plugin openid-connect no modo de introspecção, o serviço de autenticação estar conectado a múltiplos emissores e esses emissores compartilharem a mesma chave privada, confiando apenas em emissores diferentes.
Recomendações:
Para versões anteriores à 3.12.0, atualize para a versão 3.12.0 ou superior. Como medida temporária, considere restringir o uso do plugin openid-connect com o modo de introspecção até que a atualização seja aplicada.