CVE-2026-67443 in FUXA
الملخص
بحسب VulDB • 19/08/2026
FUXA هو برنامج للعرض المرئي للعملية (SCADA/HMI/لوحة معلومات) يعتمد على الويب. في الإصدارين 1.3.2 وما قبله، يستدعي بوابة التفويض allowDashboard الموجودة في server/integrations/node-red/index.js دالة authJwt.verify للمسار /nodered دون التحقق من الهوية المفككة الشفرة (decoded identity). عندما تكون nodeRedEnabled صحيحة (true)، وsecureEnabled صحيحة (true)، وnodeRedAuthMode هي secure، يمكن لمهاجم عن بُعد غير مُصادق عليه الحصول على رمز ضيف موقَّع عبر POST /api/heartbeat واستخدامه للوصول إلى محرر RED.httpAdmin وواجهة نشر التدفقات (flow deployment API). ونظراً لأن تكوين Node-RED لا يحتوي على بوابة ثانية لـ adminAuth، فإن المهاجم يمكنه نشر عقد وظائف أو استدعاء fuxa.runScript وruntime.scriptsMgr.runScript، مما يمنحه السيطرة على بيانات مشروع FUXA، والتكوينات، والبرامج النصية (scripts)، ومساعدات وقت التشغيل القادرة على الوصول إلى نظام الملفات، وربما أوامر نظام التشغيل عند تفعيل nodeRedUnsafeModules. تم إصلاح هذه المشكلة في الإصدار 1.3.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.