CVE-2023-31719

CVE-2023-31719 エンドポイント /api/signin へのHTTP POSTリクエストを介して、JSONパラメータ "username" にSQLコードを注入することが可能です。 "username":"test' OR 2891=LIKECHAR65,66,67,68,69,70,71,UPPERHEXRANDOMBLOB500000000/2-- ZJMj","password":"test" 影響を受ける製品名: FUXA 影響を受けるバージョン: = 1.1.12 問題: SQLインジェクション 説明: エンドポイント /api/signin へのHTTP...

CVE-2023-31716

CVE-2023-31716 영향받는 제품명: FUXA 영향받는 버전: = 1.1.12 문제: 로컬 파일 인클루전 설명: FUXA 1.1.12에는 file=fuxa.log를 통한 로컬 파일 인클루전 취약점이 있습니다...

CVE-2023-31718

CVE-2023-31718 로컬 파일을 엔드포인트 /api/download에 포함시킬 수 있습니다. 이 엔드포인트는 FUXA에서 보고서를 다운로드하기 위한 것이며, HTTP GET name 매개변수를 통해 로컬 파일을 읽을 수 있습니다. /api/download?cmd=REPORT-DOWNLOAD&name=../../../../../../etc/passwd 영향을 받는 제품명: FUXA 영향을 받는 버전: = 1.1.12 문제: 로컬 파일 포함Local File Inclusion 설명: 로컬 파일을 엔드포인트...

FUXA <= 1.2.7 - Hardcoded JWT Secret Authentication Bypass

FUXA v1.2.7 contains a hardcoded credentials vulnerability caused by use of a hard-coded secret key in server/api/jwt-helper.js, letting remote attackers forge admin tokens and bypass authentication, exploit requires no special conditions. id: CVE-2025-69971 info: name: FUXA = 1.2.7 - Hardcoded J...

FUXA <= 1.2.9 - Unauthenticated Path Traversal to Arbitrary File Write

FUXA, an open-source Node.js SCADA/HMI web interface, through version 1.2.9 exposes an unauthenticated POST /api/upload endpoint that resolves the attacker-controlled destination field from the JSON request body against the application directory with only a leading underscore prefix and no...

FUXA 1.3.0 - Unauthenticated ICS/SCADA Project Data Disclosure

FUXA v1.3.0 exposes full SCADA/HMI project configuration via GET /api/project without authentication, even when secureEnabled is true. The secureFnc middleware auto-generates a valid guest JWT when no token is provided, bypassing authentication. Exposed data includes server-side scripts, device...

FUXA - Unauthenticated Remote Code Execution

A remote command execution RCE vulnerability in the /api/runscript endpoint of FUXA 1.1.13 allows attackers to execute arbitrary commands via a crafted POST request. id: CVE-2023-33831 info: name: FUXA - Unauthenticated Remote Code Execution author: gy741 severity: critical description: | A remot...

CVE-2023-31717

CVE-2023-31717 Возможна SQL-инъекция в параметр id HTTP POST, передаваемый в теле в формате JSON, что позволяет извлекать конфиденциальную информацию из базы данных SQLite Payload - "id":"n7c734712-aabf4eb3' AND 2630=LIKECHAR65,66,67,68,69,70,71,UPPERHEXRANDOMBLOB500000000/2 AND 'MIZH'='MIZH"...

CVE-2026-25938-FUXA-Unauthenticated-RCE

CVE-2026-25938 - FUXA 인증되지 않은 RCE 1. FUXA란 무엇인가? FUXA는 산업 자동화 , IoT , 실시간 프로세스 시각화 에 사용되는 무료 오픈소스 웹 기반 SCADA감독 제어 및 데이터 수집 및 HMI인간-기계 인터페이스 플랫폼입니다. 사용자는 값비싼 독점 소프트웨어나 무거운 데스크톱 편집기 없이도 웹 브라우저에서 직접 맞춤형 대시보드를 구축하고 머신을 모니터링할 수 있습니다. 2. 취약점 설명 CVE-2026-25938은 Node-RED 통합이 활성화된기본적으로 활성화됨 FUXA 버전...

CVE-2025-69985

FUXA ≤ 1.2.8 Обход аутентификации + RCE CVE-2025-69985 📜 Описание Этот эксплойт на Python нацелен на CVE-2025-69985 — критическую уязвимость обхода аутентификации в FUXA веб-SCADA/HMI-программное обеспечение версиях ≤ 1.2.8. Отправляя специально сформированный JSON-полезную нагрузку со встроенным...

CVE-2025-69985

CVE-2025-69985: Эксплойт обхода аутентификации до RCE в FUXA ≤1.2.8 📌 Общее описание Этот репозиторий содержит Концептуальное доказательство PoC и подробную техническую документацию по уязвимости CVE-2025-69985 , затрагивающей FUXA версии ≤1.2.8. Уязвимость позволяет неаутентифицированному...

CVE-2026-25939-SCADA-FUXA-Unauthenticated-Remote-Arbitrary

👤 작성자 Mohammed Idrees Banyamer 보안 연구원 📌 개요 이 저장소는 FUXA오픈소스 SCADA/ICS 소프트웨어의 심각한 권한 부여 우회 취약점인 CVE-2026-25939 에 대한 개념 증명PoC 익스플로잇을 포함합니다. 이 취약점은 인증되지 않은 원격 공격자가 임의의 스케줄러 항목을 생성, 수정 및 삭제할 수 있게 하여, 잠재적으로 원격 코드 실행과 산업 제어 시스템 조작으로 이어질 수 있습니다. 🔥 취약점 세부 정보 CVE ID : CVE-2026-25939 CVSS 점수 : 9.1 치명적 -...

FUXAPWN

CVE-2026-25895 — FUXA = 1.2.9 인증되지 않은 경로 탐색을 통한 원격 코드 실행 인증되지 않은, 사전 인증 임의 파일 쓰기: Node.js 기반 SCADA/HMI 플랫폼인 FUXA를 대상으로 합니다. 여러 가지 별개의 사후 쓰기 프리미티브를 통해 원격 코드 실행으로 이어집니다. 취약한 엔드포인트에 미들웨어가 연결되어 있지 않기 때문에 secureEnabled = true인증 켜짐 상태에서도 작동합니다. ExploitDB에서도 확인 가능:...

Unauthenticated-RCE-FUXA-CVE-2023-33831

Неаутентифицированное RCE FUXA CVE-2023-33831 Уязвимость затрагивает компонент скриптов FUXA из-за отсутствия контроля или очистки входных данных, которые могут контролироваться пользователями, что позволяет использовать опасные методы, масштабируемые для удаленного выполнения кода. Затронутый...

CVE-2026-67442

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. Prior to 1.3.3, DELETE /api/roles removes role definitions through server/runtime/users/usrstorage.js but does not remove the deleted role identifier from each user's info.roles array or the runtime usersMap cache. If a...

CVE-2026-67443

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the allowDashboard authorization gate in server/integrations/node-red/index.js calls authJwt.verify for /nodered without inspecting the decoded identity. When nodeRedEnabled is true, secureEnabled is tru...

CVE-2026-67440

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the DEVICEBROWSE, DEVICENODEATTRIBUTE, HOSTINTERFACES, and DEVICETAGSREQUEST handlers in server/runtime/index.js return device-discovery, node-attribute, host-network-interface, and device-tag metadata...

CVE-2026-65985

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the device-webapi-request Socket.IO handler in server/runtime/index.js permits an authenticated non-admin runtime user to control property.address, causing the FUXA server to issue an outbound HTTP or...

CVE-2026-65984

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, POST /api/refresh in server/api/auth/index.js falls back from current user data to decoded.groups, including when the user is deleted or groups is zero, and POST /api/heartbeat in server/api/index.js...

CVE-2026-47720

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. Prior to 1.3.2, the TDengine DAQ storage connector's escapeTdString function in server/runtime/storage/tdengine/index.js doubles single quotes but does not escape backslashes. A remote unauthenticated attacker can submit a...