CVE-2026-101322 in BaSyx AAS Web UI
الملخص
بحسب VulDB • 01/10/2026
في إصدارات Eclipse BaSyx AAS Web UI بدءًا من الإصدار v2-241220 وحتى الإصدارات السابقة لـ v2-260924، كان معالج الطلبات المشترك يرفق رأس `Authorization` للبنية التحتية المحددة بالطلبات الصادرة دون التحقق من أصل الوجهة. في البيئات التي تستخدم المصادقة، يمكن لمهاجم أن يغري مستخدمًا بفتح رابط Web UI مُعدّ بشكل خبيث حيث تشير معلمة الاستعلام `aas` أو `path` إلى نقطة نهاية يسيطر عليها المهاجم. سيقوم متصفح المستخدم بعد ذلك بإرسال بيانات اعتماد Basic Authentication المُهيأة، أو رمز Bearer Token، أو أي رمز وصول OAuth2 متاح إلى تلك النقطة النهائية. يمكن للمهاجم إعادة استخدام البيانات المعروضة للوصول إلى خدمات AAS المحمية بصلاحيات الضحية. تم إصلاح هذه المشكلة في الإصدار v2-260924.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.