CVE-2021-29442

Nacos ist eine Plattform für dynamische Service Discovery sowie Konfigurations- und Serviceverwaltung. In Nacos vor Version 1.4.1 ermöglicht der ConfigOpsController dem Benutzer die Durchführung von Verwaltungsoperationen wie das Abfragen der Datenbank oder sogar deren vollständiges Löschen. Während der /data/remove-Endpunkt mit der @Secured-Annotation ordnungsgemäß geschützt ist, ist der /derby-Endpunkt nicht geschützt und kann von nicht authentifizierten Benutzern offen aufgerufen werden. Diese Endpunkte sind nur bei Verwendung von eingebettetem Speicher (derby DB) gültig, sodass dieses Problem Installationen mit externem Speicher (z. B. mysql) nicht betreffen sollte