FICHE CVE

CVE-2026-44046

Publiée le 2026-06-19 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions 1.2.0 à 3.16.0 d'Apache APISIX sont concernées via le plugin wolf-rbac. Un attaquant disposant d'un accès authentifié basique et d'une connectivité réseau peut usurper des informations d'identité pour polluer les journaux ou contourner les règles de contrôle d'accès basées sur l'IP. Comme cela nécessite des conditions préalables spécifiques et un accès authentifié, le risque global est faible.

CVSS 4.02.3 FAIBLE

Type de faiblesse

CWE-348

Publiée2026-06-19

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Use of Less Trusted Source vulnerability in Apache APISIX. Attacker can take advantage of wolf-rbac plugin under default configuration to potentially pollute logs with spoofed identity information and exploit IP based access control rules. This issue affects Apache APISIX: from 1.2.0 through 3.16.0. Users are recommended to upgrade to version 3.17.0, which fixes the issue.