CVE-2026-15704 in BaSyx Go Components
Сводка
по VulDB • 24.07.2026
В компонентах Eclipse BaSyx Go версий вплоть до 1.0.0 включительно развертывания с поддержкой ABAC (Attribute-Based Access Control) уязвимы к обходу авторизации, вызванному несогласованностью обработки завершающих слешей между middleware ABAC и HTTP-маршрутизатором.
Общий конфигурационный маршрутизатор использовал `middleware.StripSlashes` из библиотеки Chi, поэтому запрос вида `GET /shells/` перенаправлялся на зарегистрированный маршрут `GET /shells`. Однако middleware ABAC оценивал исходный путь запроса вместе с завершающим слешем. Если поиск маршрута в ABAC не находил совпадающего маршрута с суффиксом-слэшем, запрос передавался дальше, и маршрутизатор затем удалял слэш и выполнял защищенный обработчик без принятого решения об авторизации ABAC и без ожидаемых фильтров запросов ABAC.
Неавторизованный сетевой злоумышленник мог добавить завершающий слэш к защищенным API-маршрутам, чтобы получить доступ к обработчикам, которые должны были быть заблокированы политикой ABAC. В зависимости от экспонированного компонента, HTTP-метода и развернутой политики это могло позволить выполнять несанкционированные операции чтения, создания, обновления, удаления или загрузки файлов.
Проблема затрагивает развертывания с поддержкой ABAC сервисов, использующих общий маршрутизатор и middleware ABAC, включая AAS Repository, Submodel Repository, AAS Registry, Submodel Registry, Concept Description Repository, Discovery, загрузку в AAS Environment и связанные сервисы. Проблема исправлена в Eclipse BaSyx Go Components v1.0.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.