CVE-2021-29441
Omisión de autenticación
- Publicado
- 27 abr 2021
- Actualizado
- 3 ago 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,7 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Nacos es una plataforma diseñada para el descubrimiento y la configuración dinámica de servicios y la gestión de servicios. En Nacos versiones anteriores a 1.4.1, cuando se configura para usar autenticación (-Dnacos.core.auth.enabled=true), Nacos usa el filtro de servlet AuthFilter para hacer cumplir la autenticación. Este filtro presenta una backdoor que permite a servidores de Nacos omitir este filtro y, por lo tanto, omitir las comprobaciones de autenticación. Este mecanismo es basado en el encabezado HTTP del agente de usuario para que pueda falsificarse fácilmente. Este problema puede permitir a cualquier usuario llevar a cabo cualquier tarea administrativa en el servidor de Nacos
Fuentes
- Nacos Authentication BypassLaboratorio
nacos/CVE-2021-29441
Nacos Authentication Bypass (CVE-2021-29441)
Vulhub vulnerability labsCondiciones declaradas
- lab image version: vulhub/nacos:1.4.0(nacos/CVE-2021-29441/docker-compose.yml:services.web.image)
- Nacos <1.4.1 - Authentication BypassPlantilla
http/cves/2021/CVE-2021-29441.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
- CVE-2021-29441Exploit
Exploit para CVE-2021-29441 dirigido a Alibaba Nacos para añadir cuentas no autorizadas, permitiendo la omisión de autenticación y el acceso no autorizado.
- CVE-2021-29441Exploit
Exploit para CVE-2021-29441 en Alibaba Nacos, que permite la adición no autorizada de cuentas de usuario mediante el envío de solicitudes manipuladas a la IP objetivo.
- nacos-cve-2021-29441Exploit
Exploit para CVE-2021-29441 dirigido a la omisión de autenticación de Nacos mediante credenciales predeterminadas, lo que permite el acceso no autorizado y la manipulación de la configuración.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.