CVE-2026-67443 in FUXA
Сводка
по VulDB • 18.08.2026
FUXA — это программное обеспечение для визуализации процессов (SCADA/HMI/панель управления) на основе веб-технологий. В версиях 1.3.2 и более ранних версий шлюз авторизации allowDashboard в файле server/integrations/node-red/index.js вызывает authJwt.verify для /nodered без проверки декодированной идентичности. Когда nodeRedEnabled имеет значение true, secureEnabled — true, а nodeRedAuthMode установлено как secure, удаленный неавторизованный злоумышленник может получить подписанный гостевой токен через POST-запрос к /api/heartbeat и использовать его для доступа к редактору RED.httpAdmin и API развертывания потоков. Поскольку конфигурация Node-RED не имеет второго шлюза adminAuth, злоумышленник может разворачивать функциональные узлы или вызывать fuxa.runScript и runtime.scriptsMgr.runScript, получая контроль над данными проекта FUXA, конфигурацией, скриптами, вспомогательными средствами среды выполнения с доступом к файловой системе, а также потенциально командами операционной системы при включенном nodeRedUnsafeModules. Эта проблема исправлена в версии 1.3.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.