CVE-2026-47719
Açıklama
FUXA, web tabanlı bir Süreç Görselleştirme (SCADA/HMI/Dashboard) yazılımıdır. 1.3.2 sürümünden önce, server/runtime/index.js içindeki DEVICE_WEBAPI_REQUEST ve DEVICE_PROPERTY Socket.IO işleyicileri isSocketWriteAuthorized kontrolünü atlar ve saldırgan tarafından kontrol edilen property.address veya endpoint bağlantı verilerini kabul eder. Uzak kimlik doğrulaması yapılmamış bir saldırgan, server/runtime/devices/httprequest/index.js dosyasının axios.get çağrısını rastgele HTTP veya HTTPS hedeflerine yapmasını sağlayabilir, erişilebilir OPC UA veya ODBC hizmetlerine bağlanabilir ve sonuçları ilgili Socket.IO olayı aracılığıyla alabilir. Bu okuma SSRF oracle'ı, secureEnabled değeri true olduğunda dahi FUXA ana bilgisayarından erişilebilen bulut örnek meta verilerini, dahili yönetim hizmetlerini, endüstriyel uç noktaları ve ODBC verilerini açığa çıkarabilir. Bu sorun 1.3.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fuxa-servernpm | v ≤ 1.1.14-1243 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.