CVE-2026-47719
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
FUXA przed wersją 1.3.2 ma podatność na zdalny atak SSRF (Server-Side Request Forgery) przez nieuwierzytelnionego atakującego. Poprzez manipulację danymi w handlerach Socket.IO DEVICE_WEBAPI_REQUEST i DEVICE_PROPERTY, atakujący może zmusić serwer do wykonania żądań HTTP/HTTPS do dowolnych adresów, w tym do wewnętrznych usług, metadanych chmury, usług OPC UA lub ODBC. Problem naprawiono w wersji 1.3.2.
Ocena ryzyka
Ryzyko obejmuje możliwość odczytu wrażliwych danych z wewnętrznych systemów, takich jak metadane chmury, usługi administracyjne, czy dane przemysłowe, co może prowadzić do eskalacji uprawnień lub wycieku informacji.
Rekomendacja
Zaleca się aktualizację FUXA do wersji 1.3.2 lub nowszej oraz ograniczenie dostępu do serwera FUXA z sieci zewnętrznych. Należy również monitorować ruch wychodzący z serwera.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.2, the DEVICE_WEBAPI_REQUEST and DEVICE_PROPERTY Socket.IO handlers in server/runtime/index.js omit isSocketWriteAuthorized and accept attacker-controlled property.address or endpoint connection data. A remote unauthenticated attacker can make server/runtime/devices/httprequest/index.js call axios.get against arbitrary HTTP or HTTPS destinations, connect to reachable OPC UA or ODBC services, and receive results through the corresponding Socket.IO event. This read SSRF oracle can expose cloud instance metadata, internal administrative services, industrial endpoints, and ODBC data reachable from the FUXA host, including when secureEnabled is true. This issue is fixed in version 1.3.2.