CVE-2026-57898

Eclipse BaSyx Java Server SDK 2.0.0-milestone-05 ile 2.0.0-milestone-12 arasındaki sürümlerde, MongoDB arka ucu kullanan dağıtımlar, AAS thumbnail API üzerinden kimlik doğrulaması gerektirmeyen rastgele dosya yazma işlemine karşı savunmasızdır. AAS thumbnail yükleme yolu, istemci tarafından kontrol edilen bir fileName istek parametresini kabul etmekte ve bunu hem bir depo anahtarı olarak hem de thumbnail geri çağırma sırasında yerel bir dosya sistemi yolu olarak depo dosya işleme sürecine aktarmaktaydı. MongoDB dosya deposunda, sağlanan dosya adı opak bir GridFS anahtarı olarak değerlendirilmiş; bir dosya sistemi yolu olarak normalize edilmemiş veya kısıtlanmamıştır. Uzak bir saldırgan, mutlak veya dizin gezginliğine (traversal) dayalı bir dosya adı kullanarak thumbnail içeriği yükleyebilir ve ardından yüklenen baytların sunucu dosya sisteminde saldırganın seçtiği yola yazılmasını sağlamak için thumbnail geri çağırmayı tetikleyebilirdi. Bu durum, Java işleminin yazma iznine sahip olduğu herhangi bir yere dosya yazılmasına izin verebilir ve uzaktan kod çalıştırmaya yol açabilir. Varsayılan InMemory arka ucu, dosya yollarını geçici dizinine göre normalize ettiği ve kısıtladığı için bu özel durumdan etkilenmemektedir. Sorun, Eclipse BaSyx Java Server SDK 2.0.0-milestone-13 sürümünde giderilmiştir.