CVE-2026-65985
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
FUXA w wersji 1.3.2 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na kontrolowanie property.address w handlerze device-webapi-request, co umożliwia serwerowi FUXA wysyłanie żądań HTTP/HTTPS do wewnętrznych usług i zwracanie odpowiedzi atakującemu. To prowadzi do podatności SSRF.
Ocena ryzyka
Ryzyko obejmuje wykorzystanie serwera jako proxy do ataków na wewnętrzne zasoby, w tym dostęp do metadanych chmury, co może prowadzić do naruszenia bezpieczeństwa sieci.
Rekomendacja
Zaleca się aktualizację FUXA do wersji 1.3.3 lub nowszej oraz ograniczenie dostępu do funkcji webapi dla nieuprzywilejowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. In 1.3.2 and earlier, the device-webapi-request Socket.IO handler in server/runtime/index.js permits an authenticated non-admin runtime user to control property.address, causing the FUXA server to issue an outbound HTTP or HTTPS request and return the response body to the requesting socket. The attacker can use the server as a read SSRF oracle against reachable internal services or cloud metadata endpoints, with impact depending on the FUXA host's deployment network. This issue is fixed in version 1.3.3.