CVE-2026-25752
KrytyczneStreszczenie
FUXA to oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard) oparte na sieci web. Wykryto lukę w autoryzacji, która pozwala nieautoryzowanemu, zdalnemu atakującemu na modyfikację tagów urządzeń za pomocą WebSockets, omijając kontrolę dostępu opartą na rolach.
Ocena ryzyka
Wykorzystanie tej luki może umożliwić atakującemu manipulację procesami fizycznymi oraz odłączonymi urządzeniami z poziomu HMI, co stwarza poważne zagrożenie dla środowisk ICS/SCADA.
Rekomendacja
Zaleca się aktualizację FUXA do wersji 1.2.10, w której problem został załatany, aby zabezpieczyć system przed potencjalnymi atakami.
Powiązane podatności
- CVE-2026-105889Krytyczne
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
- CVE-2026-104398Krytyczne
Podatność polegająca na deserializacji niezaufanych danych w wtyczce AFFI – Affiliate Marketing for WooCommerce. Umożliwia to atakującemu wstrzyknięcie obiektów (Object Injection). Dotyczy wersji do 1.0.10.
- CVE-2026-108551Krytyczne
Podatność polegająca na wstrzyknięciu kodu w narzędziu openapi-typescript-codegen do wersji 0.31.0. Atakujący kontrolujący dokument OpenAPI może wstrzyknąć JavaScript poprzez niepoprawne wartości interpolowane w literałach łańcuchowych. Można to wykorzystać przez osadzenie pojedynczego cudzysłowu w kluczach ścieżek, nazwach parametrów, adresach serwerów lub wersji info.
- CVE-2026-93945Krytyczne
Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.
- CVE-2026-93944Krytyczne
Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.
- CVE-2026-93943Krytyczne
Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93942Krytyczne
Podatność deserializacji niezaufanych danych w motywie Dwell firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93941Krytyczne
Podatność deserializacji niezaufanych danych w motywie Edema firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.2.2.
- CVE-2026-93940Krytyczne
Podatność deserializacji niezaufanych danych w motywie Greeny firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 2.10.0.
- CVE-2026-93938Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hogwords firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.7.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. An authorization bypass vulnerability in FUXA allows an unauthenticated, remote attacker to modify device tags via WebSockets. Exploitation allows an unauthenticated, remote attacker to bypass role-based access controls and overwrite arbitrary device tags or disable communication drivers, exposing connected ICS/SCADA environments to follow-on actions. This may allow an attacker to manipulate physical processes and disconnected devices from the HMI. This affects FUXA through version 1.2.9. This issue has been patched in FUXA version 1.2.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS