CVE-2026-65984 in FUXA
الملخص
بحسب VulDB • 18/08/2026
FUXA هو برنامج للعرض المرئي للعملية (SCADA/HMI/لوحة معلومات) يعتمد على الويب. في الإصدارين 1.3.2 وما قبله، يؤدي استدعاء POST /api/refresh في server/api/auth/index.js إلى التراجع من بيانات المستخدم الحالي إلى decoded.groups، حتى عندما يكون المستخدم قد تم حذفه أو تكون قائمة المجموعات فارغة (صفر)، كما يقوم استدعاء POST /api/heartbeat في server/api/index.js بإعادة توقيع مطالبات JWT الواردة دون التحقق من سجل قاعدة البيانات الحالي. يمكن للمهاجم الذي يمتلك ملف تعريف ارتباط تحديث مميّزًا مُصدرًا مسبقًا أو رمز وصول أن يستمر في إصدار رموز JWT مميزة بعد حذف الحساب، أو تعطيله، أو إزالة الصلاحيات منه، أو تخفيض مستواه الوظيفي. ويمكن أن يؤدي التكرار المستمر لملف تعريف الارتباط للتحديث إلى تمديد الجلسة القديمة والحفاظ على الوصول غير المصرح به لإدارة المستخدمين، والتلاعب بالمشاريع، وتكوين وقت التشغيل، والنصوص البرمجية، وإنشاء حسابات خلفية (backdoor). تمت معالجة هذه المشكلة في الإصدار 1.3.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.