CVE-2026-47719 in FUXA
摘要
由 VulDB • 2026-08-19
FUXA是一款基于Web的工业过程可视化（SCADA/HMI/仪表板）软件。在版本1.3.2之前，server/runtime/index.js中的DEVICE_WEBAPI_REQUEST和DEVICE_PROPERTY Socket.IO处理程序未调用isSocketWriteAuthorized进行授权检查，从而接受攻击者控制的property.address或endpoint连接数据。远程未经身份验证的攻击者可利用server/runtime/devices/httprequest/index.js发起axios.get请求，访问任意HTTP或HTTPS目标地址，连接到可达的OPC UA或ODBC服务，并通过相应的Socket.IO事件接收响应结果。这种读取型SSRF（服务器端请求伪造）漏洞可暴露FUXA主机可访问的云实例元数据、内部管理服务、工业终端节点以及ODBC数据，即使在secureEnabled为true的情况下亦无法避免该问题。此问题已在版本1.3.2中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.