CVE-2026-80515

Eclipse Arrowhead-in 5.0.0-dan 5.2.1-ə qədər olan versiyalarında hər bir /…/mgmt/… REST son nöqtəsini qoruyan management-authorization şlüzü, yoxlamanın tətbiq olunub-olunmayacağına request.getRequestURL().toString().contains("/mgmt/") funksiyasını çağıraraq qərar verir. Tomcat getRequestURL()-i dekod olunmamış şəkildə qaytarır, lakin Spring MVC-nin DispatcherServlet-i marşrutlaşdırmanı dekod edilmiş yol üzrə həyata keçirir. Buna görə də /serviceregistry/%6Dgmt/systems (%6D == m) sorğusu alt sətir yoxlamasından keçmir — filtr avtorizasiya etmədən ötürülür — lakin /serviceregistry/mgmt/systems kimi dekod edilir və idarəetmə kontrollerinə yönləndirilir. Spring Security-nin StrictHttpFirewall-u (arrowhead-common daxilində spring-boot-starter-security vasitəsilə aktivdir) yalnız kodlaşdırılmış / \ . % ; və null baytlarını rədd edir, buna görə də faizlə kodlaşdırılmış ASCII hərfləri keçir. İstənilən autentifikasiya olunmuş sistem — imtiyazlarından asılı olmayaraq — yeni sysop hesabları yaradan POST /authentication/mgmt/identities daxil olmaqla bütün idarəetmə əməliyyatlarına daxil ola bilər ki, bu da lokal buludun tam inzibati nəzarətinin ələ keçirilməsinə səbəb olur.