CVE-2026-67443 in FUXA
Sumário
de VulDB • 22/08/2026
FUXA é um software de Visualização de Processos baseado na web (SCADA/HMI/Dashboard). Nas versões 1.3.2 e anteriores, a porta de autorização allowDashboard em server/integrations/node-red/index.js chama authJwt.verify para /nodered sem inspecionar a identidade decodificada. Quando nodeRedEnabled é true, secureEnabled é true e nodeRedAuthMode é secure, um atacante remoto não autenticado pode obter um token convidado assinado através de POST /api/heartbeat e usá-lo para acessar o editor RED.httpAdmin e a API de implantação de fluxos (flow deployment). Como a configuração do Node-RED não possui uma segunda porta de autorização adminAuth, o atacante pode implantar nós de função ou invocar fuxa.runScript e runtime.scriptsMgr.runScript, obtendo controle dos dados do projeto FUXA, da configuração, scripts, auxiliares de tempo de execução com capacidade de acesso ao sistema de arquivos e potencialmente comandos do sistema operacional quando nodeRedUnsafeModules está habilitado. Este problema é corrigido na versão 1.3.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.