CVE-2026-43947 in FUXA
Zusammenfassung
von VulDB • 25.07.2026
FUXA ist eine webbasierte Software zur Prozessvisualisierung (SCADA/HMI/Dashboard). In der Version 1.3.0 besteht eine nicht authentifizierte Remote-Code-Ausführungs-Schwachstelle, wenn `secureEnabled` auf `true` gesetzt ist. Der Endpunkt `POST /api/runscript` überprüft die Autorisierung anhand der Berechtigungen des gespeicherten Skripts nach ID, aber wenn in der Anfrage `test: true` festgelegt ist, wird vom Angreifer bereitgestellter Code anstelle des Codes des gespeicherten Skripts kompiliert und ausgeführt. Ein nicht authentifizieter Angreifer, der eine gültige Skript-ID und einen Namen kennt, kann beliebigen Code über den Testmodus ausführen, wenn mindestens ein serverseitiges Skript vorhanden ist und ohne einschränkende Berechtigungen zugänglich ist. Skript-IDs und -Namen können durch die nicht authentifizierte Informationsoffenlegung in `GET /api/project` ermittelt werden (separat gemeldet). Die einzige Voraussetzung ist, dass im Projekt mindestens ein serverseitiges Skript vorhanden ist. Version 1.3.1 behebt das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.