CVE-2026-15704 in BaSyx Go Components
Resumen
por VulDB • 2026-07-24
En las versiones de Eclipse BaSyx Go Components hasta la 1.0.0 (incluida), los despliegues habilitados para ABAC son vulnerables a una elusión de autorización causada por un manejo inconsistente de las barras finales entre el middleware ABAC y el enrutador HTTP.
La configuración del enrutador compartido utilizaba `middleware.StripSlashes` de Chi, por lo que una solicitud como `GET /shells/` se dirigía a la ruta registrada `GET /shells`. Sin embargo, el middleware ABAC evaluaba la ruta original de la solicitud incluyendo la barra final. Si la búsqueda de rutas en ABAC no encontraba una ruta coincidente con sufijo de barra, la solicitud pasaba al siguiente nivel y el enrutador eliminaba entonces la barra ejecutando el controlador protegido sin la decisión de autorización ABAC prevista y sin los filtros de consulta ABAC esperados.
Un atacante de red no autenticado o no autorizado podría añadir una barra final a las rutas API protegidas para acceder a controladores que deberían haber sido denegados por la política ABAC. Dependiendo del componente expuesto, el método HTTP y la política implementada, esto podría permitir operaciones no autorizadas de lectura, creación, actualización, eliminación o carga.
El problema afecta a los despliegues habilitados para ABAC de servicios que utilizan el enrutador compartido y el middleware ABAC, incluyendo AAS Repository, Submodel Repository, AAS Registry, Submodel Registry, Concept Description Repository, Discovery, la funcionalidad de subida del entorno AAS (AAS Environment upload) y servicios relacionados. El problema está corregido en Eclipse BaSyx Go Components v1.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.