CVE-2026-65984
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
FUXA w wersji 1.3.2 i wcześniejszych nieprawidłowo obsługiwał odświeżanie sesji, co pozwalało atakującemu z wcześniej wydanym uprzywilejowanym ciasteczkiem lub tokenem na kontynuowanie generowania uprzywilejowanych tokenów JWT nawet po usunięciu konta, dezaktywacji, usunięciu roli lub degradacji. Umożliwiało to utrzymanie nieautoryzowanego dostępu do zarządzania użytkownikami, projektami, konfiguracją i tworzeniem kont backdoor. Problem naprawiono w wersji 1.3.3.
Ocena ryzyka
Ryzyko obejmuje utrzymanie dostępu do systemu przez nieautoryzowanych użytkowników, co może prowadzić do przejęcia kontroli nad systemem SCADA/HMI, modyfikacji konfiguracji lub tworzenia kont z dostępem zapasowym.
Rekomendacja
Zaleca się aktualizację FUXA do wersji 1.3.3 lub nowszej oraz unieważnienie wszystkich istniejących sesji i tokenów. Należy również przejrzeć konta użytkowników pod kątem nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. In 1.3.2 and earlier, POST /api/refresh in server/api/auth/index.js falls back from current user data to decoded.groups, including when the user is deleted or groups is zero, and POST /api/heartbeat in server/api/index.js re-signs inbound JWT claims without validating the current database record. An attacker who possesses a previously issued privileged refresh cookie or access token can continue minting privileged JWTs after account deletion, disablement, role removal, or demotion. Continued refresh-cookie rotation can extend the stale session and preserve unauthorized access to user management, project manipulation, runtime configuration, scripts, and backdoor-account creation. This issue is fixed in version 1.3.3.