CVE-2026-39999

9.1 Critique

Publiée le 19/06/2026 à 16:16 · Modifiée le 23/06/2026 à 17:08 · Analysée par le NVD · Source : security@apache.org

Description

Authentication Bypass by Spoofing vulnerability in Apache APISIX. The attacker can completely bypass authentication capitalising on certain configurations of jwt-auth plugin. This issue affects Apache APISIX: from v2.2 through v3.16.0. Users are recommended to upgrade to version v3.17.0, which fixes the issue.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	7.0 Élevée	security@apache.org	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	9.1 Critique	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N`

Faiblesses (CWE)

CWE-290

Références

https://lists.apache.org/thread/nfopt8cnxd3k0rs1oxtr7lzxrdw4mojq Vendor AdvisoryMailing List
http://www.openwall.com/lists/oss-security/2026/06/19/5 Third Party Advisory

CVE-2026-39999

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs