CVE-2026-67442
NiskieCVSS 2.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
FUXA to webowe oprogramowanie do wizualizacji procesów (SCADA/HMI/Dashboard). Przed wersją 1.3.3, usunięcie definicji roli przez DELETE /api/roles nie usuwa identyfikatora roli z tablicy info.roles użytkowników ani z pamięci podręcznej usersMap. Może to prowadzić do zachowania uprawnień po ich cofnięciu przez administratora.
Ocena ryzyka
Ryzyko niekontrolowanego dostępu do systemu SCADA, co może skutkować nieautoryzowanymi działaniami i błędnymi wynikami audytów.
Rekomendacja
Zaktualizuj FUXA do wersji 1.3.3 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.3, DELETE /api/roles removes role definitions through server/runtime/users/usrstorage.js but does not remove the deleted role identifier from each user's info.roles array or the runtime usersMap cache. If a permission configuration still references that identifier, an affected user can retain authorization rights that an administrator intended to revoke, causing residual privilege, inconsistent access-control state, and misleading audit results. This issue is fixed in version 1.3.3.