Post #4256

Headache В lua-nginx-moduleобнаружена уязвимость, позволяющая обойти защиту прокси и красть ответы других пользователей. Суть проблемы в том, что модуль неправильно обрабатывает HEAD-запросы с телом, интерпретируя их как два отдельных запроса вместо одного. Когда такой запрос проходит через цепочку прокси, возникает расхождение в их интерпретации. Уязвимость затрагивает не только сам OpenResty, но и популярные решения на его основе — Kong Gateway и Apache APISIX. Исследователь продемонстрировал, как с помощью этой бреши можно провести XSS-атаки, обойти защиту Cloudflare и перехватывать чужие ответы. Разработчики уже выпустили патч, но учитывая распространенность OpenResty в высоконагруженных системах, многие сервисы все еще могут быть уязвимы. НеКасперский