CVE-2020-13945
Apache APISIX में, उपयोगकर्ता ने Admin API को सक्षम किया और Admin API एक्सेस IP प्रतिबंध नियमों को हटा दिया। अंततः, डिफ़ॉल्ट टोकन को APISIX प्रबंधन डेटा तक पहुँचने की अनुमति दी जाती है। यह संस्करण 1.2, 1.3,...
- प्रकाशित
- 7 दिस॰ 2020
- अद्यतन
- 4 अग॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:Nउच्च · अगले 30 दिन
- प्रतिशत
- 99.5%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache APISIX में, उपयोगकर्ता ने Admin API को सक्षम किया और Admin API एक्सेस IP प्रतिबंध नियमों को हटा दिया। अंततः, डिफ़ॉल्ट टोकन को APISIX प्रबंधन डेटा तक पहुँचने की अनुमति दी जाती है। यह संस्करण 1.2, 1.3, 1.4, 1.5 को प्रभावित करता है।
स्रोत
apisix/CVE-2020-13945
Apache APISIX Hardcoded API Token Leads to RCE (CVE-2020-13945)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/apisix:2.11.0(apisix/CVE-2020-13945/docker-compose.yml:services.apisix.image)
- lab image version: gcr.io/etcd-development/etcd:v3.4.15(apisix/CVE-2020-13945/docker-compose.yml:services.etcd.image)
http/cves/2020/CVE-2020-13945.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
modules/exploits/multi/http/apache_apisix_api_default_token_rce.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Unix($.exploit_multi/http/apache_apisix_api_default_token_rce.platform)
- verification: check_declared($.exploit_multi/http/apache_apisix_api_default_token_rce.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।