CVE-2026-47719

FUXA veb əsaslı Proses Vizuallaşdırma (SCADA/HMI/Dashboard) proqram təminatıdır. Versiya 1.3.2-yə qədər, server/runtime/index.js faylındakı DEVICE_WEBAPI_REQUEST və DEVICE_PROPERTY Socket.IO handler-ləri isSocketWriteAuthorized funksiyasını nəzərə almır və hücum edən tərəfindən idarə olunan property.address və ya endpoint bağlantı məlumatlarını qəbul edir. Uzaqdakı autentifikasiya olunmamış hücum edən şəxs server/runtime/devices/httprequest/index.js vasitəsilə ixtiyari HTTP və ya HTTPS ünvanlarına qarşı axios.get çağırışı edə bilər, əlçatan olan OPC UA və ya ODBC xidmətlərinə qoşula bilər və nəticələri müvafiq Socket.IO hadisəsi vasitəsilə ala bilər. Bu oxuma yönümlü SSRF orakulu, secureEnabled parametrinin true olduğu hallar da daxil olmaqla, bulud instansiyasının metadata-sını, daxili inzibati xidmətləri, sənaye endpoint-lərini və FUXA hostundan əlçatan olan ODBC məlumatlarını ifşa edə bilər. Bu problem 1.3.2 versiyasında düzəldilmişdir.