Podatności Eclipse BaSyx Java Server SDK
3 znanych podatności CVE w Eclipse BaSyx Java Server SDK, przetłumaczonych i ocenionych.
- CVE-2026-57898Krytyczne
W Eclipse BaSyx Java Server SDK od wersji 2.0.0-milestone-05 do 2.0.0-milestone-12, wdrożenia korzystające z bazy MongoDB są podatne na nieuwierzytelniony zapis dowolnego pliku przez API miniatur AAS. Atakujący może przesłać plik z kontrolowaną nazwą, a następnie wywołać jego odczyt, co skutkuje zapisem danych w dowolnej lokalizacji na serwerze.
- CVE-2026-7411Krytyczne
W wersjach Eclipse BaSyx Java Server SDK przed 2.0.0-milestone-10 występuje niewłaściwa normalizacja ścieżek w API HTTP Submodel, co pozwala nieautoryzowanemu zdalnemu atakującemu na przeprowadzenie ataku typu path traversal. Atakujący może dostarczyć złośliwie skonstruowany parametr fileName podczas operacji przesyłania plików, co umożliwia zapisanie dowolnych plików w systemie plików hosta.
- CVE-2026-7412Wysokie
W Eclipse BaSyx Java Server SDK przed wersją 2.0.0-milestone-10 funkcja delegowania operacji nie weryfikuje docelowego URI. Nieuwierzytelniony atakujący może zmusić serwer BaSyx do wykonania ślepych żądań HTTP POST do dowolnych wewnętrznych lub zewnętrznych celów, omijając segmentację sieci.