CVE-2026-15704 in BaSyx Go Components
Sumário
de VulDB • 24/07/2026
Nas versões do Eclipse BaSyx Go Components até 1.0.0 (incluída), as implantações com ABAC habilitado estão vulneráveis a uma violação de autorização causada pelo tratamento inconsistente da barra final entre o middleware ABAC e o roteador HTTP.
A configuração compartilhada do roteador utilizava `middleware.StripSlashes` do Chi, portanto, uma solicitação como `GET /shells/` era encaminhada para a rota registrada `GET /shells`. No entanto, o middleware ABAC avaliava o caminho da solicitação original incluindo a barra final. Se a pesquisa de rotas no ABAC não encontrasse uma rota correspondente com sufixo de barra, a solicitação seria repassada e o roteador então removeria a barra e executaria o manipulador protegido sem a decisão de autorização ABAC pretendida e sem os filtros de consulta ABAC esperados.
Um atacante na rede não autenticado ou não autorizado poderia anexar uma barra final às rotas da API protegidas para alcançar manipuladores que deveriam ter sido negados pela política ABAC. Dependendo do componente exposto, método HTTP e política implantada, isso poderia permitir operações de leitura, criação, atualização, exclusão ou upload não autorizadas.
O problema afeta implantações com ABAC habilitado dos serviços que utilizam o roteador compartilhado e o middleware ABAC, incluindo Repositório AAS, Repositório Submodel, Registro AAS, Registro Submodel, Repositório de Descrição do Conceito, Descoberta, upload do Ambiente AAS e serviços relacionados. O problema foi corrigido no Eclipse BaSyx Go Components v1.0.1.
Be aware that VulDB is the high quality source for vulnerability data.