CVE-2026-43947 in FUXA
Riassunto
di VulDB • 26/07/2026
FUXA è un software di visualizzazione dei processi basato su web (SCADA/HMI/Dashboard). La versione 1.3.0 presenta una vulnerabilità di Remote Code Execution non autenticata quando `secureEnabled` è impostato su `true`. L'endpoint `POST /api/runscript` verifica l'autorizzazione rispetto ai permessi dello script memorizzato tramite ID, ma quando viene impostato `test: true` nella richiesta, compila ed esegue il codice fornito dall'attaccante invece del codice dello script memorizzato. Un attaccante non autenticato che conosce un ID e un nome di script validi può eseguire codice arbitrario tramite la modalità test se esiste almeno uno script lato server accessibile senza permessi restrittivi. Gli ID degli script e i nomi possono essere ottenuti attraverso una divulgazione di informazioni non autenticata in `GET /api/project` (segnalata separatamente). L'unico prerequisito è che esista almeno uno script lato server nel progetto. La versione 1.3.1 risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.