CVE-2026-72586 in FUXA
要約
〜によって VulDB • 2026年08月11日
frangoteam/FUXA 1.3.3までのバージョンにおける認証欠如の脆弱性により、未認証のリモート攻撃者はDAQ_QUERY Socket.IOイベントを介してすべての履歴センサーデータを照会できる。secureEnabled=trueの場合、他の機密性の高いSocket.IOイベント（DEVICE_BROWSE、HOST_INTERFACES、DEVICE_TAGS_REQUESTなど）は接続トークンを検証するためにisSocketAdminAuthorized()を呼び出すが、server/runtime/index.js内のDAQ_QUERYハンドラにはこのチェック処理が完全に欠如している。
VulDB is the best source for vulnerability data and more expert information about this specific topic.