CVE-2026-47721

FUXA w wersji 1.3.2 i wcześniejszych ma podatność w mechanizmie autoryzacji allowDashboard, która pozwala zdalnemu nieuwierzytelnionemu atakującemu uzyskać podpisany token gościa i uzyskać dostęp do edytora Node-RED oraz API wdrażania przepływów. Atakujący może wdrożyć złośliwe węzły lub wykonać skrypty, przejmując kontrolę nad danymi projektu, konfiguracją i potencjalnie systemem operacyjnym.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.3, usunięcie definicji roli przez DELETE /api/roles nie usuwa identyfikatora roli z tablicy info.roles użytkowników ani z pamięci podręcznej usersMap. Może to prowadzić do zachowania uprawnień po ich cofnięciu przez administratora.

FUXA w wersji 1.3.2 i wcześniejszych nie sprawdza autoryzacji isSocketAdminAuthorized dla niektórych zdarzeń Socket.IO (DEVICE_BROWSE, DEVICE_NODE_ATTRIBUTE, HOST_INTERFACES, DEVICE_TAGS_REQUEST), gdy secureEnabled jest włączone. Zdalny nieuwierzytelniony lub gość może zbierać informacje o systemie, które nie są wymagane do normalnego przeglądania HMI.

FUXA w wersji 1.3.2 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na kontrolowanie property.address w handlerze device-webapi-request, co umożliwia serwerowi FUXA wysyłanie żądań HTTP/HTTPS do wewnętrznych usług i zwracanie odpowiedzi atakującemu. To prowadzi do podatności SSRF.

FUXA w wersji 1.3.2 i wcześniejszych nieprawidłowo obsługiwał odświeżanie sesji, co pozwalało atakującemu z wcześniej wydanym uprzywilejowanym ciasteczkiem lub tokenem na kontynuowanie generowania uprzywilejowanych tokenów JWT nawet po usunięciu konta, dezaktywacji, usunięciu roli lub degradacji. Umożliwiało to utrzymanie nieautoryzowanego dostępu do zarządzania użytkownikami, projektami, konfiguracją i tworzeniem kont backdoor. Problem naprawiono w wersji 1.3.3.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.2, funkcja escapeTdString w łączniku magazynu TDengine nie poprawnie escapuje backslashy. Zdalny nieuwierzytelniony atakujący może przesłać spreparowany identyfikator tagu sids przez GET /api/daq lub zdarzenie Socket.IO DAQ_QUERY, co pozwala na wstrzyknięcie SQL i odczytanie wszystkich wierszy z tabeli fuxa.meters, ujawniając historyczne wartości tagów PLC i nazwy urządzeń.

FUXA przed wersją 1.3.2 ma podatność na zdalny atak SSRF (Server-Side Request Forgery) przez nieuwierzytelnionego atakującego. Poprzez manipulację danymi w handlerach Socket.IO DEVICE_WEBAPI_REQUEST i DEVICE_PROPERTY, atakujący może zmusić serwer do wykonania żądań HTTP/HTTPS do dowolnych adresów, w tym do wewnętrznych usług, metadanych chmury, usług OPC UA lub ODBC. Problem naprawiono w wersji 1.3.2.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Pulpit). Gdy ustawienie `secureEnabled=true`, FUXA w wersji 1.3.0-2773 nadal pozwala żądaniom gości i z nieprawidłowymi tokenami na odczyt interfejsów API projektów, alarmów i harmonogramów. Wersja 1.3.1 naprawia ten problem.

FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). W wersji fuxa-server 1.3.0, endpoint GET /api/project ujawnia wrażliwe dane konfiguracyjne projektu żądaniom w kontekście gościa, nawet gdy włączona jest opcja secureEnabled. Wersja 1.3.1 naprawia ten problem.

Brak uwierzytelnienia w aplikacji FUXA do wersji 1.3.3 pozwala nieuwierzytelnionemu zdalnemu atakującemu na odpytywanie wszystkich historycznych danych z czujników przez zdarzenie Socket.IO DAQ_QUERY. Gdy secureEnabled=true, inne wrażliwe zdarzenia Socket.IO (DEVICE_BROWSE, HOST_INTERFACES, DEVICE_TAGS_REQUEST itp.) wywołują isSocketAdminAuthorized w celu weryfikacji tokenu połączenia, ale procedura obsługi DAQ_QUERY w server/runtime/index.js całkowicie pomija tę kontrolę.