CVE-2026-15704

Eclipse BaSyx Go Components 1.0.0 ve önceki sürümlerde, ABAC etkinleştirilmiş dağıtımlar, ABAC ara yazılımı ile HTTP yönlendiricisi arasındaki tutarsız sondaki eğik çizgi (trailing-slash) işleme nedeniyle bir yetkilendirme atlatma zafiyetine sahiptir. Kullanılan ortak yönlendirici yapılandırması Chi'nin `middleware.StripSlashes` özelliğini kullandığından, `GET /shells/` gibi bir istek kayıtlı olan `GET /shells` rotasına yönlendirilmekteydi. Ancak ABAC ara yazılımı, orijinal istek yolunu sondaki eğik çizgi dahil ederek değerlendiriyordu. Eğer ABAC rota araması eğik çizgiyle biten eşleşen bir rota bulamazsa, istek ileri aktarılıyor; ardından yönlendirici eğik çizgiyi kaldırarak korumalı işlemciyi (handler), amaçlanan ABAC yetkilendirme kararı ve beklenen ABAC sorgu filtreleri olmadan çalıştırıyordu. Kimliği doğrulanmamış veya yetkisiz bir ağ saldırganı, ABAC politikası tarafından reddedilmesi gereken işlemcilere ulaşmak için korumalı API rotalarının sonuna bir eğik çizgi ekleyebilir. Açık olan bileşene, HTTP yöntemine ve dağıtılan politikaya bağlı olarak bu durum; yetkisiz okuma, oluşturma, güncelleme, silme veya yükleme işlemlerine izin verebilir. Bu sorun; AAS Repository, Submodel Repository, AAS Registry, Submodel Registry, Concept Description Repository, Discovery, AAS Environment upload ve ilgili servisler dahil olmak üzere, ortak yönlendirici ve ABAC ara yazılımını kullanan ABAC etkinleştirilmiş servis dağıtımlarını etkilemektedir. Sorun Eclipse BaSyx Go Components v1.0.1 sürümünde giderilmiştir.