Authentication bypass

Nacos antes de la versión 1.4.1 permite que usuarios no autenticados accedan al endpoint /derby y realicen operaciones peligrosas en la base de datos integrada, como consultas o eliminación completa de datos. Esto elude los controles de autenticación que funcionan en endpoints similares.

Bypass de autenticación en ConfigOpsController de Nacos donde el endpoint /derby carece de anotación @Secured, permitiendo acceso no autenticado a operaciones de gestión de base de datos en almacenamiento Derby integrado. El endpoint /data/remove implementa autenticación adecuada mientras /derby no, creando inconsistencia en la postura de seguridad. El impacto se limita a despliegues que utilizan almacenamiento integrado.