CVE-2026-15704

Nome do Software Vulnerável e Versões Afetadas Eclipse BaSyx Go Components versões anteriores a 1.0.1

Description Existe uma falha de bypass de autorização em implantações com ABAC habilitado devido ao tratamento inconsistente de barras finais (trailing slashes) entre o middleware ABAC e o roteador HTTP. O roteador compartilhado utiliza middleware.StripSlashes, que encaminha requisições como GET /shells/ para a rota GET /shells. No entanto, o middleware ABAC avalia o caminho original da requisição, incluindo a barra final. Se a busca do ABAC não encontrar uma rota correspondente com a barra, a requisição é enviada ao roteador, que remove a barra e executa o manipulador protegido sem a decisão de autorização ABAC necessária ou os filtros de consulta esperados. Um invasor de rede não autenticado ou não autorizado pode adicionar uma barra final a rotas de API protegidas para realizar operações não autorizadas de leitura, criação, atualização, exclusão ou upload. Isso afeta serviços que utilizam o roteador compartilhado e o middleware ABAC, incluindo AAS Repository, Submodel Repository, AAS Registry, Submodel Registry, Concept Description Repository, Discovery e AAS Environment upload.

Recommendations Atualizar o Eclipse BaSyx Go Components para a versão 1.0.1.