CVE-2026-43947
Təsvir
FUXA veb əsaslı Proses Vizuallaşdırma (SCADA/HMI/Dashboard) proqram təminatıdır. Versiya 1.3.0-da `secureEnabled` parametri `true` olaraq təyin edildikdə autentifikasiyasız uzaqdan kodun icrası zəifliyi mövcuddur. `POST /api/runscript` son nöqtəsi avtorizasiyanı yadda saxlanılan skriptin ID-sinə görə icazələrlə yoxlayır, lakin sorğuda `test: true` təyin edildikdə, o, yadda saxlanılan skriptin kodu əvəzinə hücumçunun təqdim etdiyi kodu kompilyasiya edir və icra edir. Valid skript ID-sini və adını bilən autentifikasiya olunmamış hücumçu, əgər server tərəfində ən azı bir skript mövcudsa və məhdudlaşdırıcı icazələr olmadan əlçatandırsa, test rejimi vasitəsilə ixtiyari kodu icra edə bilər. Skript ID-ləri və adları `GET /api/project` ünvanındakı autentifikasiyasız məlumat sızması vasitəsilə əldə edilə bilər (ayrıca hesabat verilmişdir). Yeganə ön şərt layihədə ən azı bir server tərəfli skriptin olmasıdır. Versiya 1.3.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- fuxa-server1.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fuxa-servernpm | 1.3.0 ≤ v < 1.3.1 | 1.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.