Apisix 身份绕过验证 (cve_2021_45232)

xzhome

1949人浏览 · 2021-12-31 10:52:00

xzhome · 2021-12-31 10:52:00 发布

Apisix 身份绕过验证 (cve_2021_45232)

漏洞简介：

ApacheApisix是一个动态、实时、高性能的API网关在2.10.1之前的Apache APISIX Dashboard中，Manager API使用了两个框架，在gin框架的基础上引入了droplet框架，所有的API和鉴权中间件都是基于droplet框架开发的，但是有些API直接使用了框架`gin` 的接口从而绕过身份验证

影响范围：

Apache APISIX Dashboard < 2.10.1

环境搭建：

在线环境地址

漏洞复现：

访问首页

burp抓包，构造poc

ip+port/apisix/admin/migrate/export

得到回显，还可以下载

下载成功，打开看到敏感信息

漏洞修复：

根据官方进行升级或者下载补丁包

乐奇 Rokid 开放社区

更多推荐

从对话到行动：用 AIUI 构建「喝水节奏教练」

「喝水节奏教练」是专为Rokid AI眼镜设计的本地化饮水记录智能体，通过自然语言指令实现“记一杯”“查进度”“撤销错误”等操作，数据全程本地存储。基于意图驱动的单页面UI，结合语音识别与A2UI动态渲染，支持快速记录、实时核对与修正，不依赖云端或健康数据，专注轻量可信的饮水节奏管理。

乐奇 Rokid 开放社区

智能眼镜市场全景解析：从技术演进到产业格局

本文系统梳理智能眼镜市场，涵盖产品形态、技术演进、市场规模、产业链结构及竞争格局。指出智能眼镜正从音频交互向AR显示与空间计算演进，受AI大模型、供应链成熟与生态延伸驱动，呈现分层发展态势。虽面临场景刚需不足、续航重量矛盾与隐私挑战，但B端应用先行、AI原生设计与标准完善将推动行业迈向规模化渗透，未来需关注核心技术突破与真实使用数据。