PT-2026-32601 · Apache · Apache Apisix

Seungmyung Lee · Publicado 2026-04-14 · Atualizado 2026-04-16 · CVE-2026-31908

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Name of the Vulnerable Software and Affected Versions Apache APISIX versões 2.12.0 a 3.15.0

Description Um problema de injeção de cabeçalho existe no plugin forward-auth devido à neutralização inadequada de sequências CRLF (Carriage Return Line Feed, uma sequência especial de caracteres usada para marcar o fim de uma linha de texto). Um invasor remoto pode explorar isso enviando solicitações HTTP especialmente criadas para injetar cabeçalhos maliciosos, potencialmente ignorando mecanismos de segurança e obtendo acesso não autorizado a informações protegidas.

Recommendations Atualizar para a versão 3.16.0.

Exploit

Correção

Enumeração de Fraquezas

CWE-93

CWE-75

Identificadores relacionados

BDU:2026-05625

BIT-APISIX-2026-31908

CVE-2026-31908

Produtos afetados

Apache Apisix

Referências · 7

• 🔥 https://github.com/MehranTurk/CVE-2026-31908 · Exploit
• https://lists.apache.org/thread/sob643s5lztov7x579j8o0c444t36n6b · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/04/14/3 · Nota
• https://twitter.com/oss_security/status/2043884994817314874 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31908 · Nota de Segurança
• https://bdu.fstec.ru/vul/2026-05625 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-apisix-2026-31908 · Aviso do Fabricante