CVE-2026-101322 in BaSyx AAS Web UI
요약
\~에 의해 VulDB • 2026. 10. 01.
Eclipse BaSyx AAS Web UI의 v2-241220부터 v2-260924 이전 릴리스까지의 버전에서, 공유 요청 핸들러는 대상 원본(origin)을 확인하지 않고 선택된 인프라의 `Authorization` 헤더를 외부 요청에 첨부했습니다. 인증이 구성된 배포 환경에서는 공격자가 사용자를 속여 조작된 Web UI 링크(`aas` 또는 `path` 쿼리 파라미터가 공격자 제어 엔드포인트를 가리킴)를 열도록 유도할 수 있습니다. 그러면 사용자의 브라우저는 구성된 Basic Authentication 자격 증명, Bearer 토큰, 또는 이용 가능한 OAuth2 액세스 토큰을 해당 엔드포인트로 전송합니다. 공격자는 유출된 자격 증명을 재사용하여 피해자의 권한으로 보호되는 AAS 서비스에 접근할 수 있습니다. 이 문제는 v2-260924에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.