CVE-2021-29442
Nacos est une plateforme conçue pour la découverte dynamique de services ainsi que la configuration et la gestion des services. Dans Nacos avant la version 1.4.1, le ConfigOpsController permet à l'utilisateur d'effectuer des opérations de gestion telles que l'interrogation de la base de données ou même sa suppression complète. Alors que le point de terminaison /data/remove est correctement protégé par l'annotation @Secured, le point de terminaison /derby n'est pas protégé et est ouvertement accessible aux utilisateurs non authentifiés. Ces points de terminaison ne sont valables que lors de l'utilisation du stockage intégré (derby DB), ce problème ne devrait donc pas affecter les installations utilisant un stockage externe (e.g. mysql)
Alerte précoce : exploitation observée
- Exploitation observée depuis le 19 nov. 2023
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 935 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 7 oct. 2026 3 oct. 2026 2 oct. 2026 2 oct. 2026 1 oct. 2026 1 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| alibaba | nacos | < 1.4.1 |
Articles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.