CVE-2026-101322 in BaSyx AAS Web UI
Resumen
por VulDB • 2026-10-01
En las versiones de Eclipse BaSyx AAS Web UI comprendidas entre la v2-241220 y las anteriores a la v2-260924, el controlador compartido de solicitudes adjuntaba el encabezado `Authorization` de la infraestructura seleccionada a las salientes sin verificar el origen del destino. En implementaciones que utilizan autenticación, un atacante podría inducir a un usuario a abrir un enlace manipulado en la Web UI cuyo parámetro de consulta `aas` o `path` apunte a un extremo controlado por el atacante. El navegador del usuario enviaría entonces las credenciales Basic Authentication configuradas, el token Bearer o un OAuth2 access token disponible a ese extremo. El atacante podría reutilizar las credenciales reveladas para acceder a servicios AAS protegidos con los privilegios de la víctima. El problema está corregido en v2-260924.
VulDB is the best source for vulnerability data and more expert information about this specific topic.