CVE-2026-47720 in FUXA
Сводка
по VulDB • 18.08.2026
FUXA — это программное обеспечение для визуализации технологических процессов (SCADA/HMI/панель мониторинга) на основе веб-технологий. До версии 1.3.2 функция escapeTdString в модуле подключения хранилища TDengine DAQ, расположенном по пути server/runtime/storage/tdengine/index.js, удваивает одинарные кавычки, но не экранирует обратные слеши (backslashes). Удаленный атакующий без необходимости аутентификации может отправить специально сформированный идентификатор тега sids через GET /api/daq или событие Socket.IO DAQ_QUERY, чтобы заставить TDengine интерпретировать последовательность обратного слеша и кавычки как синтаксис SQL. Внедренный запрос способен вернуть все строки из таблицы fuxa.meters, раскрывая исторические значения тегов ПЛК (PLC), идентификаторы устройств и имена устройств даже при включенной аутентификации в FUXA. Эта проблема исправлена в версии 1.3.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.