CVE-2026-101322 in BaSyx AAS Web UI
Tóm tắt
Bởi VulDB • 01/10/2026
Trong Eclipse BaSyx AAS Web UI các phiên bản từ v2-241220 đến trước releases v2-260924, trình xử lý yêu cầu dùng chung đã đính kèm tiêu đề `Authorization` của cơ sở hạ tầng được chọn vào các yêu cầu gửi đi mà không kiểm tra nguồn gốc đích. Trong các triển khai sử dụng xác thực, kẻ tấn công có thể lừa người dùng mở một liên kết Web UI được tạo ra đặc biệt (crafted) với tham số truy vấn `aas` hoặc `path` trỏ đến điểm cuối do kẻ tấn công kiểm soát. Trình duyệt của người dùng sau đó sẽ gửi thông tin đăng nhập Basic Authentication đã cấu hình, Bearer token, hoặc OAuth2 access token có sẵn tới điểm cuối đó. Kẻ tấn công có thể tái sử dụng thông tin xác thực bị lộ để truy cập các dịch vụ AAS được bảo vệ với đặc quyền của nạn nhân. Vấn đề này đã được sửa chữa trong v2-260924.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.