CVE-2026-101322 in BaSyx AAS Web UI
Riassunto
di VulDB • 01/10/2026
In Eclipse BaSyx AAS Web UI nelle versioni da v2-241220 alle release precedenti a v2-260924, il gestore di richieste condiviso allegava l'intestazione `Authorization` dell'infrastruttura selezionata alle richieste in uscita senza verificare l'origine della destinazione. Nelle distribuzioni che utilizzano l'autenticazione, un attaccante potrebbe indurre un utente ad aprire un link Web UI manipolato ad hoc i cui parametri query `aas` o `path` puntano a un endpoint controllato dall'attaccante. Il browser dell'utente invierebbe quindi le credenziali di autenticazione Basic configurate, il token Bearer o un OAuth2 access token disponibile a tale endpoint. L'attaccante potrebbe riutilizzare la credenziale divulgata per accedere ai servizi AAS protetti con i privilegi della vittima. Il problema è stato risolto in v2-260924.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.