Em Eclipse BaSyx Go Components versões até e incluindo 1.0.0, implantações habilitadas pelo ABAC são vulneráveis a um bypass de autorização causado por manejo inconsistente de trailing- slash entre o middleware ABAC e o router HTTP. A configuração do router compartilhado usou o `middleware.StripSlashes` do Chi, por isso um pedido como `GET /shells/` foi enviado para a rota `GET /shells` registrada. No entanto, o intergiro do ABAC avaliou o caminho original do pedido, incluindo a barra de rastreamento. Se a busca pela rota ABAC não encontrou uma rota combinada, o pedido foi passado em frente e o router então desmontou a barra e executou o manipulador protegido sem a decisão de autorização ABAC pretendida e sem os filtros de consulta ABAC esperados. Um atacante de rede não autenticado ou não autorizado pode adicionar uma barra de rastreamento para rotas protegidas da API para os manipuladores de alcance que deveriam ter sido negados pela política ABAC. Dependendo do componente exposto, do método HTTP e da política implementada, isso poderá permitir a leitura, criação, atualização, exclusão ou envio de operações não autorizadas.
O problema afeta as implantações habilitadas pelo ABAC de serviços que usam o router compartilhado e o intermediário ABAC, incluindo Repositório AAS, Submodel Repositório, Registo AAS, Registo Submodel, Repositório Descrição do Conceito, Discovery, Upload do Ambiente AAS e serviços relacionados. O problema está corrigido no Eclipse BaSyx Go Components v 1.0.1. Registro de aconselhamento: GHSA- 86 p 5 -cmgc-c 94 w. Identificadores relacionados: CVE- 2026 - 15704.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 24 T 09: 32: 16.000 Z e lista a sua última modificação como 2026 - 07 - 24 T 09: 32: 16.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 180. O registro contém 5 suporte de referências nestes tipos: AVISO, WEB.