CVE-2026-72586
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Brak uwierzytelnienia w aplikacji FUXA do wersji 1.3.3 pozwala nieuwierzytelnionemu zdalnemu atakującemu na odpytywanie wszystkich historycznych danych z czujników przez zdarzenie Socket.IO DAQ_QUERY. Gdy secureEnabled=true, inne wrażliwe zdarzenia Socket.IO (DEVICE_BROWSE, HOST_INTERFACES, DEVICE_TAGS_REQUEST itp.) wywołują isSocketAdminAuthorized w celu weryfikacji tokenu połączenia, ale procedura obsługi DAQ_QUERY w server/runtime/index.js całkowicie pomija tę kontrolę.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do wrażliwych danych historycznych z czujników, co może naruszyć poufność danych przemysłowych lub operacyjnych.
Rekomendacja
Zaktualizuj FUXA do wersji z poprawką. Jeśli to możliwe, wdróż dodatkowe zabezpieczenia sieciowe, takie jak firewalle, aby ograniczyć dostęp do portów Socket.IO.
Oryginalny opis (angielski, źródło NVD)
A missing authentication vulnerability in frangoteam/FUXA through 1.3.3 allows an unauthenticated remote attacker to query all historical sensor data via the DAQ_QUERY Socket.IO event. When secureEnabled=true, all other sensitive Socket.IO events (DEVICE_BROWSE, HOST_INTERFACES, DEVICE_TAGS_REQUEST, etc.) call isSocketAdminAuthorized to verify the connection token, but the DAQ_QUERY handler in server/runtime/index.js lacks this check entirely.