CVE-2026-65984
Açıklama
FUXA, web tabanlı bir Süreç Görselleştirme (SCADA/HMI/Dashboard) yazılımıdır. 1.3.2 ve önceki sürümlerde, server/api/auth/index.js içindeki POST /api/refresh, kullanıcı silindiğinde veya groups sıfır olduğunda da dahil olmak üzere mevcut kullanıcı verilerinden decoded.groups kısmına geri döner ve server/api/index.js içindeki POST /api/heartbeat, güncel veri tabanı kaydını doğrulamadan gelen JWT taleplerini yeniden imzalar. Daha önce düzenlenmiş ayrıcalıklı bir yenileme çerezesine (refresh cookie) veya erişim belirtecine (access token) sahip olan bir saldırgan; hesap silme, devre dışı bırakma, rol kaldırma veya yetki düşürme işlemlerinden sonra bile ayrıcalıklı JWT'ler üretmeye devam edebilir. Yenileme çerezinin sürekli döndürülmesi, bayat oturumu uzatabilir ve kullanıcı yönetimi, proje manipülasyonu, çalışma zamanı yapılandırması, betikler ve arka kapı hesabı oluşturmaya yönelik yetkisiz erişimi koruyabilir. Bu sorun 1.3.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frangoteam FUXA | < 1.3.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.