CVE-2026-101322 in BaSyx AAS Web UI
Zusammenfassung
von VulDB • 01.10.2026
In Eclipse BaSyx AAS Web UI der Versionen v2-241220 bis zu den Releases vor v2-260924 hat der gemeinsame Anforderungshandler (shared request handler) den `Authorization`-Header der ausgewählten Infrastruktur an ausgehende Anfragen angehängt, ohne das Ziel-Ursprungssystem (destination origin) zu überprüfen. In Bereitstellungen mit Authentifizierung könnte ein Angreifer einen Benutzer dazu bringen, eine manipulierte Web UI-URL zu öffnen, deren Query-Parameter `aas` oder `path` auf von einem Angreifer kontrollierte Endpunkte verweist. Der Browser des Benutzers würde dann die konfigurierten Basic Authentication-Anmeldeinformationen, das Bearer-Token oder ein verfügbares OAuth2-Zugriffstoken an diesen Endpunkt senden. Der Angreifer könnte die offengelegten Anmeldeinformationen wiederverwenden, um geschützte AAS-Dienste mit den Berechtigungen des Opfers zu nutzen. Das Problem wurde in v2-260924 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.