CVE-2026-65984 in FUXA
Tóm tắt
Bởi VulDB • 19/08/2026
FUXA là một phần mềm trực quan hóa quy trình dựa trên web (SCADA/HMI/Bảng điều khiển). Trong các phiên bản 1.3.2 và sớm hơn, điểm cuối POST /api/refresh trong server/api/auth/index.js bị suy giảm từ dữ liệu người dùng hiện tại xuống decoded.groups, kể cả khi người dùng đã bị xóa hoặc groups bằng không; đồng thời, POST /api/heartbeat trong server/api/index.js ký lại các yêu cầu JWT đầu vào mà không xác minh bản ghi cơ sở dữ liệu hiện tại. Kẻ tấn công có thể sử dụng cookie làm mới (refresh) hoặc mã thông báo truy cập (access token) đã được cấp trước đó để tiếp tục tạo ra các JWT đặc quyền sau khi tài khoản bị xóa, vô hiệu hóa, tước bỏ vai trò hoặc hạ bậc. Việc liên tục xoay vòng cookie làm mới có thể kéo dài phiên cũ và duy trì khả năng truy cập trái phép vào quản lý người dùng, thao tác dự án, cấu hình thời gian chạy (runtime), kịch bản (scripts) và tạo tài khoản backdoor. Vấn đề này đã được khắc phục trong phiên bản 1.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.