CVE-2021-29442

Nacos è una piattaforma progettata per la service discovery dinamica e la gestione della configurazione e dei servizi. In Nacos prima della versione 1.4.1, il ConfigOpsController consente all'utente di eseguire operazioni di gestione come interrogare il database o addirittura cancellarlo. Mentre l'endpoint /data/remove è correttamente protetto con l'annotazione @Secured, l'endpoint /derby non è protetto e può essere acceduto liberamente da utenti non autenticati. Questi endpoint sono validi solo quando si utilizza lo storage embedded (derby DB), quindi questo problema non dovrebbe riguardare le installazioni che utilizzano lo storage esterno (e.g. mysql)