Nacos Derby 接口未授权访问/SQL查询（CVE-2021-29442）

漏洞描述

Nacos 在 1.4.1 之前版本中，`ConfigOpsController`控制器提供数据库运维接口，其中`/v1/cs/ops/derby`接口**没有增加鉴权注解`@Secured`**，未授权远程攻击者可直接访问该接口执行 Derby 数据库 SQL 语句；而同控制器下的`/data/remove`做了正常鉴权保护NVD。
当 Nacos 使用默认内置 Derby 嵌入式数据库存储数据时，攻击者无需登录认证，直接调用该接口执行任意 SQL 查询，可以读取用户账号、配置等敏感数据；后期研究人员进一步利用 Derby 数据库特性，通过加载恶意 Jar 实现远程代码执行 RCE。**若部署时切换为 MySQL 外部数据库，则该 derby 接口不生效，漏洞无法利用**。