CVE-2026-49230: Bypass de autenticação no plugin jwe-decrypt do Apache APISIX por validação inadequada de integridade
A CVE-2026-49230 afeta o plugin jwe-decrypt do Apache APISIX na configuração padrão, em que a validação inadequada de um valor de verificação de integridade pode permitir bypass de autenticação. Segundo o registro, as versões de 3.8.0 até 3.16.0 são afetadas e a atualização para 3.17.0 corrige o problema. A NVD classifica a severidade como crítica (9.1 no CVSS 3.1), e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-49230 é um problema de validação inadequada de valor de verificação de integridade (CWE-354) no Apache APISIX. Segundo o registro, o plugin jwe-decrypt é vulnerável a bypass de autenticação na configuração padrão.
Impacto
O vetor CVSS 3.1 publicado pela NVD (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) descreve um problema acessível pela rede, de baixa complexidade, que não exige privilégios nem interação do usuário, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade. O impacto real em cada ambiente depende de como o plugin é usado.
Produtos e versões afetados
- Apache APISIX, da versão 3.8.0 até 3.16.0, conforme a descrição.
- A faixa afetada estruturada é 3.8.0 ou posterior e anterior a 3.17.0.
O registro não lista outros produtos afetados.
Status de exploração
O registro indica que esta CVE não consta no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. Não há dados de EPSS disponíveis.
Correção e mitigação
- Atualizar o Apache APISIX para a versão 3.17.0, que a descrição informa corrigir o problema.
- Priorizar as instâncias em que o plugin jwe-decrypt está habilitado.
- Avaliar se o plugin é necessário. Quando não for, considerar desabilitá-lo até que a atualização seja aplicada. Trata-se de inferência a partir dos dados disponíveis, não de recomendação do fornecedor.
Consulte a thread da lista de discussão da Apache e a publicação na oss-security.
Orientações de detecção
- Inventariar as implantações do APISIX e identificar se o plugin jwe-decrypt está habilitado em alguma rota ou serviço.
- Revisar, em nível geral, os registros de autenticação dessas rotas em busca de requisições bem-sucedidas inesperadas ou padrões de acesso incomuns.
- Após a atualização, verificar se a versão em execução é 3.17.0 ou posterior.
Limitações das informações disponíveis
O registro não descreve a mecânica técnica do bypass, as condições exatas necessárias nem assinaturas de detecção. O campo estruturado de versão corrigida está vazio, portanto a correção na 3.17.0 se apoia na descrição e nos avisos vinculados. O CNA informou pontuação CVSS 4.0 de 6.3, enquanto a pontuação 9.1 da NVD usa o CVSS 3.1; o registro não explica a diferença.
Perguntas frequentes
O que é a CVE-2026-49230?
É um problema de validação inadequada de valor de verificação de integridade (CWE-354) no plugin jwe-decrypt do Apache APISIX que, segundo o registro, permite bypass de autenticação na configuração padrão.
Quais versões são afetadas?
A descrição informa que as versões de 3.8.0 até 3.16.0 são afetadas, e a faixa estruturada é 3.8.0 ou posterior e anterior a 3.17.0.
O que os administradores devem fazer?
Atualizar o Apache APISIX para a versão 3.17.0, que a descrição indica corrigir o problema, priorizando as instâncias com o plugin jwe-decrypt habilitado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.