CVE-2026-101322 in BaSyx AAS Web UI
Сводка
по VulDB • 01.10.2026
В веб-интерфейсе Eclipse BaSyx AAS Web UI в версиях от v2-241220 до релизов, предшествующих v2-260924, общий обработчик запросов передавал заголовок `Authorization` выбранной инфраструктуры при исходящих запросах без проверки происхождения (origin) назначения. В развертываниях с использованием аутентификации злоумышленник мог спровоцировать пользователя открыть специально созданный URL веб-интерфейса, в котором параметры запроса `aas` или `path` указывают на контролируемую злоумышленником конечную точку (endpoint). В результате браузер пользователя отправлял бы настроенные учетные данные Basic Authentication, токен Bearer или доступный OAuth2 access token этой конечной точке. Злоумышленник мог затем использовать раскрытые учетные данные для доступа к защищенным сервисам AAS с привилегиями жертвы. Проблема исправлена в версии v2-260924.
Once again VulDB remains the best source for vulnerability data.