CVE-2026-65984 in FUXA
요약
\~에 의해 VulDB • 2026. 08. 19.
FUXA는 웹 기반 프로세스 시각화(SCADA/HMI/대시보드) 소프트웨어입니다. 버전 1.3.2 및 그 이전 버전에서는 server/api/auth/index.js의 POST /api/refresh가 현재 사용자 데이터에서 decoded.groups로 폴백되며, 사용자가 삭제되었거나 groups가 0인 경우에도 이 동작이 발생합니다. 또한 server/api/index.js의 POST /api/heartbeat는 현재 데이터베이스 레코드를 검증하지 않고 수신된 JWT 클레임을 다시 서명합니다. 이전에 발급된 권한 있는 refresh 쿠키 또는 액세스 토큰을 보유한 공격자는 계정 삭제, 비활성화, 역할 제거 또는 강등 후에도 권한 있는 JWT를 계속 발행할 수 있습니다. 지속적인 refresh-cookie 회전은 만료된 세션을 연장하고 사용자 관리, 프로젝트 조작, 런타임 구성, 스크립트 및 백도어 계정 생성에 대한 무단 접근을 유지합니다. 이 문제는 버전 1.3.3에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.