apollo-portal 中潜在的未经授权的访问问题（CVE-2024-43397）

CVE编号

CVE-2024-43397

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-20

漏洞描述

Apollo是一个配置管理系统。在同步配置功能中存在一个漏洞，允许用户制作特定请求以绕过权限检查。利用此漏洞，用户可以在没有必要权限的情况下修改命名空间。该问题已通过版本2.3.0中发布的输入参数检查来解决。

解决建议

"将组件 com.ctrip.framework.apollo:apollo 升级至 2.3.0 及以上版本"

参考链接
https://github.com/apolloconfig/apollo/commit/f55b419145bf9d4f2f51dd4cd451082...
https://github.com/apolloconfig/apollo/pull/5192
https://github.com/apolloconfig/apollo/releases/tag/v2.3.0
https://github.com/apolloconfig/apollo/security/advisories/GHSA-c6c3-h4f7-3962

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com