CVE-2026-47721
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.2, endpointy POST /api/scheduler i DELETE /api/scheduler nie egzekwują spójnie uprawnień administratora. Uwierzytelniony operator bez uprawnień administratora może tworzyć lub modyfikować akcje urządzeń, które wywołują onSetValue lub onRunScript, lub usuwać harmonogramy, uzyskując dostęp do zmian wartości urządzeń i wykonywania skryptów po stronie serwera.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do sterowania urządzeniami i wykonywania skryptów, co może prowadzić do niebezpiecznych zmian w procesach przemysłowych.
Rekomendacja
Zaleca się aktualizację FUXA do wersji 1.3.2 lub nowszej, która zawiera poprawkę egzekwowania uprawnień administratora dla endpointów scheduler.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.2, POST /api/scheduler and DELETE /api/scheduler in server/api/scheduler/index.js do not consistently enforce authJwt.haveAdminPermission for scheduler settings. An authenticated non-admin operator can create or alter deviceActions that invoke onSetValue or onRunScript, or delete schedules, gaining access to device-value changes and server-side project script execution normally reserved for administrators. Scheduled and repeating actions can continue changing PLC setpoints, safety interlocks, device state, or project data after the operator's session ends. This issue is fixed in version 1.3.2.