cas-authプラグインのデフォルト設定においてクロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。この脆弱性により、リモートの攻撃者が被害者を自身が制御するウェブページに誘導すると、被害者のブラウザが異なるIDとして認証される可能性があります。その結果、被害者が上流で行う操作は攻撃者のIDに帰属することになります。この問題はApache APISIXのバージョン3.0.0から3.16.0までに影響を及ぼします。ユーザーはこの問題を修正したバージョン3.17.0へのアップグレードを推奨します。

ベンダ情報を参照して適切な対策を実施してください。