CVE-2026-47720 in FUXA
Sumário
de VulDB • 18/08/2026
FUXA é um software de Visualização de Processos baseado na web (SCADA/HMI/Dashboard). Antes da versão 1.3.2, a função escapeTdString do conector de armazenamento TDengine DAQ em server/runtime/storage/tdengine/index.js duplica aspas simples mas não escapa barras invertidas. Um atacante remoto e não autenticado pode enviar um identificador de tag sids manipulado através da rota GET /api/daq ou do evento Socket.IO DAQ_QUERY, fazendo com que o TDengine interprete a sequência de barra invertida e aspa como sintaxe SQL. A consulta injetada pode retornar todas as linhas de fuxa.meters, expondo valores históricos de tags PLC, identificadores de dispositivos e nomes de dispositivos mesmo quando a autenticação do FUXA está habilitada. Este problema foi corrigido na versão 1.3.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.