CVE-2026-49871: Vulnerabilidade de CSRF no plugin cas-auth do Apache APISIX
Uma falha de Cross-Site Request Forgery no plugin cas-auth do Apache APISIX, sob configurações padrão, pode permitir que um atacante remoto leve o navegador da vítima a um estado autenticado vinculado a outra identidade. O registro informa pontuação CVSS 3.1 de 9.3 pela NVD e correção na versão 3.17.0. As fontes consultadas não mostram inclusão no catálogo KEV nem exploração confirmada.
Visão geral
A CVE-2026-49871 é uma fragilidade de Cross-Site Request Forgery (CSRF), classificada como CWE-352, no plugin cas-auth do Apache APISIX. Segundo o registro da CVE, o problema existe em configurações padrão e pode ser acionado quando uma vítima autenticada é levada a uma página web controlada por um atacante. O CNA é o security@apache.org e o registro foi publicado em 2026-06-19.
Impacto
O registro afirma que o navegador da vítima pode passar a ficar autenticado como outra identidade, de modo que ações que a vítima realiza no upstream são atribuídas à identidade do atacante. A NVD atribui pontuação base CVSS 3.1 de 9.3 (crítica), com alto impacto em confidencialidade e integridade, sem impacto em disponibilidade, e exige interação do usuário. O CNA informa pontuação CVSS 4.0 de 2.1, portanto as duas avaliações de severidade divergem.
Produtos e versões afetadas
- Produto: Apache APISIX, plugin cas-auth.
- Faixa afetada no registro: da versão 3.0.0 até a 3.16.0, expressa como maior ou igual a 3.0.0 e menor que 3.17.0.
- Versão corrigida: 3.17.0, segundo a descrição da CVE. O campo estruturado de correções do registro está vazio, então a versão corrigida foi extraída do texto da descrição.
Status de exploração
Esta CVE não consta no catálogo KEV e o registro não traz dados de exploração. Nas fontes consultadas não há exploração confirmada. Os campos EPSS e SSVC estão vazios.
Correção e mitigação
- Identifique todas as implantações do Apache APISIX dentro da faixa afetada e confirme se o plugin cas-auth está habilitado.
- Atualize para a versão 3.17.0 ou posterior, conforme recomendado no aviso do fornecedor e na descrição da CVE.
- Consulte a thread da lista de discussão da Apache e a publicação na oss-security para orientações do fornecedor e eventuais passos adicionais.
- Se a atualização imediata não for possível, limite a exposição de rotas administrativas e autenticadas e monitore mudanças de autenticação inesperadas. Trata-se de uma inferência e não de um workaround confirmado pelo fornecedor.
Orientações de detecção
- Revise os logs de autenticação em busca de sessões que mudem de identidade sem um login correspondente feito pelo usuário.
- Procure ações de alteração de estado iniciadas pelo usuário que tenham origem em referenciadores externos inesperados ou que o usuário não reconheça.
- Mapeie os hosts com APISIX nas versões 3.0.0 a 3.16.0 para validar a remediação após a atualização.
Limitações das informações disponíveis
As fontes não detalham além da configuração padrão as condições exatas necessárias, os pré-requisitos do ataque nem os endpoints específicos afetados. As fontes consultadas não incluem prova de conceito publicada pelo fornecedor nem telemetria de exploração. A divergência entre a pontuação CVSS 3.1 da NVD e a pontuação CVSS 4.0 do CNA não é explicada no registro.
Perguntas frequentes
Quais versões do Apache APISIX são afetadas pela CVE-2026-49871?
O registro indica as versões da 3.0.0 até a 3.16.0, expressas como maior ou igual a 3.0.0 e menor que 3.17.0.
Existe correção para esta vulnerabilidade?
A descrição da CVE recomenda atualizar para a versão 3.17.0, que corrige o problema. O campo estruturado de correções do registro está vazio.
Esta vulnerabilidade está sendo explorada ativamente?
Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.