Apache ShenYu Admin爆出身份验证绕过漏洞，攻击者可通过该漏洞绕过JSON Web Token (JWT)安全认证，直接进入系统后台。 Apache ShenYu 是应用于所有微服务场景的，可扩展、高性能、响应式的 API 网关解决方案。

Apache ShenYu Admin 存在身份验证绕过漏洞。 ShenyuAdminBootstrap 中 JWT 的错误使用允许攻击者绕过身份验证，攻击者可通过该漏洞直接进入系统后台。

CVE 编号 CVE-2021-37580

fofa:fid="uPGDN6V9UWnc+KJdy5wdkQ=="

影响版本： Apache ShenYu 2.3.0 Apache ShenYu 2.4.0

漏洞复现 GET /dashboardUser 生成jwt带入head，发送数据包 通过返回数据包，可获取管理员帐号和口令，登录系统后台

扫描脚本CVE-2021-37580.py需要pocsuite3环境，需要安装jwt，命令python3 -m pip install jwt