遠端主機上安裝的 Apache APISIX 版本是 2.13.0 之前版本。因此，會受到一個不當輸入驗證弱點影響。解碼包含重複金鑰的 JSON 時，lua-cjson 會選擇上次發生的值作為結果。藉由傳送包含重複金鑰的 JSON，攻擊者可繞過 request-validation 外掛程式中的 body_schema 驗證。符合下列三個條件的系統會受到此攻擊影響：1. 在 request-validation 外掛程式中使用 body_schema 驗證 2. 上游應用程式使用選擇首個發生的值的特殊 JSON 程式庫，例如 jsoniter 或 gojay 3. 上游應用程式不再驗證輸入。 

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Apache APISIX < 2.13.0 輸入驗證

critical Nessus Plugin ID 161977

找不到變更記錄