Eclipse BaSyx Go组件授权绕过漏洞披露

Eclipse BaSyx Go Components 1.1.2 及之前版本存在授权绕过漏洞（CVE-2026-128790）：在启用 ABAC 的 Submodel Repository 和 AAS Environment 中，对单个 Submodel 的读取未应用访问规则的 FILTERLIST 字段过滤，低权限登录的远程攻击者可读取本应隐藏的字段，如 supplementalSemanticIds。该问题已在 1.1.3 版本修复。 此外，若启用了版本管理（history.mode 设为 api 或 audit），Submodel Repository、AAS Repository 和 AAS Environment 的版本历史路由会返回完整存储版本，不应用规则的 formula 或 fragment 过滤。目前尚不清楚该漏洞是否需要非默认功能或设置才能触发。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。