Authentication bypass

O Nacos antes da versão 1.4.1 permite que usuários não autenticados acessem o endpoint /derby e executem operações perigosas no banco de dados embutido, como consultas ou limpeza total dos dados. Isso ignora as proteções de autenticação que funcionam em endpoints similares.

Bypass de autenticação no ConfigOpsController do Nacos onde o endpoint /derby não possui a anotação @Secured, permitindo acesso não autenticado a operações de gerenciamento de banco de dados no armazenamento Derby embutido. O endpoint /data/remove implementa autenticação adequada enquanto /derby não, criando inconsistência na postura de segurança. O impacto limita-se a implantações usando armazenamento embutido.