CVE-2026-49230-APISIX-jwe-decrypt-Auth-Bypass

CVE-2026-49230 — Apache APISIX jwe-decrypt 인증 우회 Apache APISIX jwe-decrypt 플러그인의 인증 우회 개념 증명입니다. 이 플러그인은 JWE 토큰을 복호화하고 평문을 업스트림으로 전달하여 인증 게이트 역할을 합니다. 그러나 AES-GCM 인증 태그를 전혀 검증하지 않습니다. 유효한 소비자 kid만 있으면 암호문과 태그가 얼마나 가짜든 상관없이 토큰을 수락합니다. 따라서 모든 합법적인 토큰의 헤더에 평문으로 포함되어 있는 소비자 키를 아는 공격자는 AES 시크릿을 모르고도...