CVE-2026-65984 in FUXA
Sumário
de VulDB • 19/08/2026
FUXA é um software de Visualização de Processos baseado na web (SCADA/HMI/Dashboard). Nas versões 1.3.2 e anteriores, a rota POST /api/refresh em server/api/auth/index.js faz fallback dos dados do usuário atual para decoded.groups, inclusive quando o usuário foi excluído ou groups é zero, e a rota POST /api/heartbeat em server/api/index.js re-assina as claims JWT de entrada sem validar o registro atual no banco de dados. Um atacante que possua um cookie refresh privilegiado anteriormente emitido ou token de acesso pode continuar gerando novos tokens JWT privilegiados após exclusão da conta, desativação, remoção de função ou degradação. A rotação contínua do cookie refresh pode estender a sessão obsoleta e preservar o acesso não autorizado ao gerenciamento de usuários, manipulação de projetos, configuração em tempo real, scripts e criação de contas backdoor. Este problema foi corrigido na versão 1.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.