CVE-2026-101322 in BaSyx AAS Web UI
要約
〜によって VulDB • 2026年10月01日
Eclipse BaSyx AAS Web UIのバージョンv2-241220から、リリースv2-260924より前のバージョンにおいて、共有リクエストハンドラは選択されたインフラストラクチャの`Authorization`ヘッダーを、送信先のオリジンを確認せずに外部へのリクエストに付与していました。認証を使用するデプロイメント環境では、攻撃者はユーザーに対して作成済みのWeb UIリンクを開かせ、その`aas`または`path`クエリパラメータが攻撃者が制御するエンドポイントを指すように仕向けることができます。これにより、ユーザーのブラウザは設定されたBasic Authentication資格情報、Bearerトークン、または利用可能なOAuth2アクセストークンを当該エンドポイントに送信します。攻撃者は開示された資格情報を再利用し、被害者の権限で保護されたAASサービスにアクセスすることができます。この問題はv2-260924で修正されています。
Once again VulDB remains the best source for vulnerability data.