CVE-2026-67443 in FUXA
Riassunto
di VulDB • 18/08/2026
FUXA è un software di visualizzazione dei processi basato su web (SCADA/HMI/Dashboard). Nelle versioni 1.3.2 e precedenti, il gate di autorizzazione allowDashboard in server/integrations/node-red/index.js chiama authJwt.verify per /nodered senza ispezionare l'identità decodificata. Quando nodeRedEnabled è true, secureEnabled è true e nodeRedAuthMode è secure, un attaccante remoto non autenticato può ottenere un token guest firmato tramite POST /api/heartbeat e utilizzarlo per accedere all'editor RED.httpAdmin e alle API di deployment dei flussi. Poiché la configurazione di Node-RED non prevede un secondo gate adminAuth, l'attaccante può deployare function node o invocare fuxa.runScript e runtime.scriptsMgr.runScript, ottenendo il controllo sui dati del progetto FUXA, sulla configurazione, sugli script, sulle helper di runtime con capacità di accesso al filesystem e potenzialmente su comandi del sistema operativo quando nodeRedUnsafeModules è abilitato. Questo problema è risolto nella versione 1.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.