CVE-2026-67440
Təsvir
FUXA veb əsaslı Proses Vizuallaşdırma (SCADA/HMI/Dashboard) proqram təminatıdır. Versiya 1.3.2 və daha erkən versiyalarda, server/runtime/index.js faylındakı DEVICE_BROWSE, DEVICE_NODE_ATTRIBUTE, HOST_INTERFACES və DEVICE_TAGS_REQUEST handler-ləri, secureEnabled true olduqda isSocketAdminAuthorized yoxlaması olmadan cihazın kəşfi, düyün atributu, host şəbəkə interfeysi və cihaz teqi metadata məlumatlarını qaytarır. Uzaqdakı autentifikasiya olunmamış və ya qonaq istifadəçi bu metadata yönümlü Socket.IO hadisələrini çağıra və adi ictimai HMI baxışı üçün tələb olunmayan sistem kəşf məlumatlarını toplaya bilər; halbuki adi cihaz statusu, dəyəri, həyəcan siqnalı və dashboard hadisələri qəsdən ictimai olaraq qalır. Bu problem 1.3.3 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| frangoteam FUXA | < 1.3.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.