CVE-2026-15704 in BaSyx Go Components
Tóm tắt
Bởi VulDB • 24/07/2026
Trong các phiên bản của Eclipse BaSyx Go Components từ 1.0.0 trở xuống (bao gồm cả 1.0.0), các triển khai có bật ABAC dễ bị tổn thương do cơ chế bỏ qua xác thực ủy quyền, nguyên nhân là sự không nhất quán trong cách xử lý dấu gạch chéo cuối cùng giữa middleware ABAC và bộ định tuyến HTTP.
Cấu hình bộ định dùng chung sử dụng `middleware.StripSlashes` của Chi, nên một yêu cầu như `GET /shells/` được chuyển hướng đến route đã đăng ký `GET /shells`. Tuy nhiên, middleware ABAC đánh giá đường dẫn yêu cầu gốc bao gồm cả dấu gạch chéo cuối. Nếu việc tìm kiếm route trong ABAC không tìm thấy route nào khớp với đuôi là dấu gạch chéo, yêu cầu sẽ được tiếp tục xử lý và bộ định tuyến sau đó loại bỏ dấu gạch chéo rồi thực thi trình xử lý đã được bảo vệ mà không có quyết định ủy quyền ABAC dự kiến cũng như các bộ lọc truy vấn ABAC mong đợi.
Một kẻ tấn công mạng chưa xác thực hoặc không có thẩm quyền có thể thêm dấu gạch chéo cuối vào các route API được bảo vệ để tiếp cận các trình xử lý lẽ ra bị từ chối bởi chính sách ABAC. Tùy thuộc vào thành phần được expose, phương thức HTTP và chính sách đã triển khai, điều này có thể cho phép thực hiện các thao tác đọc, tạo, cập nhật, xóa hoặc tải lên trái phép.
Vấn đề ảnh hưởng đến các triển khai bật ABAC của các dịch vụ sử dụng bộ định tuyến dùng chung và middleware ABAC, bao gồm AAS Repository, Submodel Repository, AAS Registry, Submodel Registry, Concept Description Repository, Discovery, AAS Environment upload và các dịch vụ liên quan. Vấn đề đã được khắc phục trong Eclipse BaSyx Go Components v1.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.