CVE-2026-67443 in FUXA
Resumen
por VulDB • 2026-08-18
FUXA es un software de visualización de procesos basado en web (SCADA/HMI/Dashboard). En las versiones 1.3.2 y anteriores, el mecanismo de autorización allowDashboard en server/integrations/node-red/index.js llama a authJwt.verify para /nodered sin inspeccionar la identidad decodificada. Cuando nodeRedEnabled es true, secureEnabled es true y nodeRedAuthMode es secure, un atacante remoto no autenticado puede obtener un token de invitado firmado desde POST /api/heartbeat y utilizarlo para acceder al editor RED.httpAdmin y a la API de despliegue de flujos (flow deployment). Dado que la configuración de Node-RED carece de una segunda puerta de enlace adminAuth, el atacante puede desplegar nodos de función o invocar fuxa.runScript y runtime.scriptsMgr.runScript, obteniendo control sobre los datos del proyecto FUXA, la configuración, scripts, ayudantes de ejecución con capacidad para acceder al sistema de archivos y, potencialmente, comandos del sistema operativo cuando nodeRedUnsafeModules está habilitado. Este problema se soluciona en la versión 1.3.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.