# Umbraco 交付API使用无效API密钥缓存响应
## 概述
Umbraco 是一个基于 ASP.NET 的内容管理系统。在特定版本中,当同时启用内容交付 API 的 API 密钥鉴权和输出缓存功能时,存在一个安全漏洞。
## 影响版本
- 13.0.0 至 13.9.2
- 15.0.0 至 15.4.1
- 16.0.0 至 16.1.0
## 细节
- 内容交付 API 可通过配置要求在请求头中提供 API 密钥进行授权。
- 可启用输出缓存功能以提升性能,缓存 API 响应内容。
- 漏洞在于缓存机制未根据请求头中的 API 密钥进行区分(缓存未按 header 做 vary)。
- 导致一个拥有有效 API 密钥的请求若被缓存,后续未提供有效密钥的请求也能访问相同缓存内容。
## 影响
未授权用户可通过缓存获取此前由合法 API 密钥请求的内容,从而绕过访问控制,造成敏感信息泄露。
## 修复版本
- 13.9.3
- 15.4.4
- 16.1.1
# | POC 描述 | 源链接 | 神龙链接 |
---|
标题: Delivery API allows for cached requests to be returned with an invalid API key · Advisory · umbraco/Umbraco-CMS · GitHub -- 🔗来源链接
标签: x_refsource_CONFIRM
神龙速读标题: Merge commit from fork · umbraco/Umbraco-CMS@7e82c25 · GitHub -- 🔗来源链接
标签: x_refsource_MISC
神龙速读标题: Merge commit from fork · umbraco/Umbraco-CMS@9f37db1 · GitHub -- 🔗来源链接
标签: x_refsource_MISC
神龙速读标题: Merge commit from fork · umbraco/Umbraco-CMS@da43086 · GitHub -- 🔗来源链接
标签: x_refsource_MISC
神龙速读暂无评论