Kong 网关缓存键未转义漏洞可致缓存投毒

Kong Gateway Enterprise 与 Kong AI Gateway 的 proxy-cache 和 proxy-cache-advanced 插件在构建缓存键时未转义分隔符，未登录的远程攻击者可让同一 Route 上为某请求缓存的响应被返回给另一请求，即跨请求缓存投毒，CVSS 评分 6.3。 修复版本为 Kong Gateway Enterprise 3.10.0.20、3.13.0.12、3.14.0.17、3.15.0.7、3.16.0.2，以及 Kong AI Gateway 2.2.1。目前不清楚该漏洞是否需要非默认功能或设置才能触发；发行版软件包可能在较旧版本号下包含向后移植的修复，需以发行版自身公告为准。

AI 根据报道生成 · 54 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。