CVE-2026-65984 in FUXA
Сводка
по VulDB • 19.08.2026
FUXA — это программное обеспечение для визуализации процессов (SCADA/HMI/панель управления) на основе веб-технологий. В версиях 1.3.2 и более ранних в файле server/api/auth/index.js метод POST /api/refresh осуществляет переход от данных текущего пользователя к decoded.groups, даже если пользователь удален или массив groups пуст; а в файле server/api/index.js метод POST /api/heartbeat переподписывает входящие утверждения JWT (JWT claims) без проверки соответствия текущей записи в базе данных. Злоумышленник, обладающий ранее выданным привилегированным cookie для обновления токена или access-токеном, может продолжать выпускать привилегированные JWT после удаления учетной записи, ее отключения, снятия роли или понижения уровня доступа. Непрерывное обновление refresh-cookie позволяет продлевать срок действия устаревшей сессии и сохранять несанкционированный доступ к управлению пользователями, манипуляциям с проектами, конфигурации среды выполнения (runtime configuration), скриптам и созданию учетных записей для бэкдоров. Данная проблема исправлена в версии 1.3.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.