CVE-2026-25938-FUXA-Unauthenticated-RCE

CVE-2026-25938 - FUXA 未认证远程代码执行 1. 什么是 FUXA？ FUXA 是一个免费、开源的基于 Web 的 SCADA（监控与数据采集 ）和 HMI（人机界面 ）平台，用于工业自动化 、IoT 和实时过程可视化 。它使用户能够直接在 Web 浏览器中构建自定义仪表板并监控机器，无需昂贵的专有软件或笨重的桌面编辑器。 2. 漏洞说明 CVE-2026-25938 影响 FUXA 的 1.2.8 至 1.2.10 版本，前提是 Node-RED 集成功能 已启用（默认启用）。该漏洞源于对暴露 Node-RED 功能的功能身份验证执行不足 ，允许未认证的远程攻击者...

CVE-2025-69985

FUXA ≤ 1.2.8 認証バイパス + RCE CVE-2025-69985 📜 説明 このPythonエクスプロイトは、FUXA（WebベースのSCADA/HMIソフトウェア）バージョン1.2.8以下における深刻な認証バイパス脆弱性であるCVE-2025-69985を標的としています。保護されていない/api/runscriptエンドポイントにNode.jsコードを埋め込んだ細工済みJSONペイロードを送信することで、FUXAプロセスとしてリモートコマンド実行を達成し、レスポンス内で完全なstdout/stderrを同期的に取得します。 🛠️ インストール !NOTE...

FUXA <= 1.2.7 - Hardcoded JWT Secret Authentication Bypass

FUXA v1.2.7 contains a hardcoded credentials vulnerability caused by use of a hard-coded secret key in server/api/jwt-helper.js, letting remote attackers forge admin tokens and bypass authentication, exploit requires no special conditions. id: CVE-2025-69971 info: name: FUXA = 1.2.7 - Hardcoded J...

FUXA <= 1.2.9 - Unauthenticated Path Traversal to Arbitrary File Write

FUXA, an open-source Node.js SCADA/HMI web interface, through version 1.2.9 exposes an unauthenticated POST /api/upload endpoint that resolves the attacker-controlled destination field from the JSON request body against the application directory with only a leading underscore prefix and no...

FUXA 1.3.0 - Unauthenticated ICS/SCADA Project Data Disclosure

FUXA v1.3.0 exposes full SCADA/HMI project configuration via GET /api/project without authentication, even when secureEnabled is true. The secureFnc middleware auto-generates a valid guest JWT when no token is provided, bypassing authentication. Exposed data includes server-side scripts, device...

FUXA - Unauthenticated Remote Code Execution

A remote command execution RCE vulnerability in the /api/runscript endpoint of FUXA 1.1.13 allows attackers to execute arbitrary commands via a crafted POST request. id: CVE-2023-33831 info: name: FUXA - Unauthenticated Remote Code Execution author: gy741 severity: critical description: | A remot...

CVE-2026-25939-SCADA-FUXA-Unauthenticated-Remote-Arbitrary

👤 作者 Mohammed Idrees Banyamer 安全研究员 📌 概述 本仓库包含针对 CVE-2026-25939 的概念验证（PoC）漏洞利用代码，这是 FUXA （开源 SCADA/ICS 软件）中的一个严重授权绕过漏洞。该漏洞允许未经身份验证的远程攻击者创建、修改和删除任意调度器条目，可能导致远程代码执行和工业控制系统被操纵。 🔥 漏洞详情 CVE ID ：CVE-2026-25939 CVSS 评分 ：9.1（严重）- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 受影响版本 ：FUXA = 1.2.8, 1.2.11...

CVE-2025-69985

CVE-2025-69985: FUXA ≤1.2.8 における認証バイパスからRCEへのエクスプロイト 📌 概要 このリポジトリには、FUXA （バージョン ≤1.2.8）に影響する脆弱性 CVE-2025-69985 に関する概念実証（PoC）と詳細な技術文書が含まれています。この脆弱性により、攻撃者は 認証されていない状態で、アプリケーションのミドルウェアにおける認証バイパス を介してサーバー上で任意のコマンドを実行 （RCE）できます。 従来のWindowsのメモリオーバーフローなどの脆弱性とは異なり、この欠陥はミドルウェアの論理的な弱点...

CVE-2023-31718

CVE-2023-31718 エンドポイント /api/download にローカルファイルを含めることが可能です。このエンドポイントは FUXA からレポートをダウンロードするためのもので、HTTP GET の「name」パラメータからローカルファイルを読み取ることができます。 /api/download?cmd=REPORT-DOWNLOAD&name=../../../../../../etc/passwd 影響を受ける製品名: FUXA 影響を受けるバージョン: = 1.1.12 問題: ローカルファイルインクルード Local File Inclusion 説明: エンドポイン...

FUXAPWN

CVE-2026-25895 — FUXA = 1.2.9 認証なしパストラバーサルによるリモートコード実行 Node.jsベースのSCADA/HMIプラットフォームであるFUXAに対する、認証なし・認証前の任意ファイル書き込み。複数の異なる書き込み後プリミティブを介してリモートコード実行に連鎖します。脆弱なエンドポイントにはミドルウェアが接続されていないため、secureEnabled = true（認証オン）の場合でも機能します。 ExploitDB でも公開されています: https://www.exploit-db.com/exploits/52568 フィールド| 値...

CVE-2023-31719

CVE-2023-31719 エンドポイント /api/signin へのHTTP POSTリクエストを介して、JSONパラメータ "username" にSQLコードを注入することが可能です。 "username":"test' OR 2891=LIKECHAR65,66,67,68,69,70,71,UPPERHEXRANDOMBLOB500000000/2-- ZJMj","password":"test" 影響を受ける製品名: FUXA 影響を受けるバージョン: = 1.1.12 問題: SQLインジェクション 説明: エンドポイント /api/signin へのHTTP...

CVE-2023-31717

CVE-2023-31717 ボディにJSONとして渡されるHTTP POSTのidパラメータに対してSQLインジェクションが可能であり、SQLiteデータベースから機密情報を抽出することができます。 Payload - "id":"n7c734712-aabf4eb3' AND 2630=LIKECHAR65,66,67,68,69,70,71,UPPERHEXRANDOMBLOB500000000/2 AND 'MIZH'='MIZH" 影響を受ける製品名: FUXA 影響を受けるバージョン: = 1.1.12 問題: SQLインジェクション 説明:...

CVE-2023-31716

CVE-2023-31716 Name Affected product: FUXA Version affected: = 1.1.12 Problem: ローカルファイルインクルージョン Description: FUXA 1.1.12 には、file=fuxa.log を介したローカルファイルインクルージョンの脆弱性が存在します。...

Unauthenticated-RCE-FUXA-CVE-2023-33831

認証不要のRCE FUXA CVE-2023-33831 この脆弱性はFUXAのスクリプティングコンポーネントに影響を与えます。これは、ユーザーが制御可能な入力の制御やサニタイズが欠如しているため、危険なメソッドの使用を許し、リモートコード実行に拡大される可能性があります。 影響を受けるルートは/api/runscriptです。ここでは、認証を必要とせずに、codeパラメータを介してPOSTメソッドで、childprocessモジュールのexec関数を使用してコマンドを実行することが可能です。 使用方法 python CVE-2023-33831.py --rhost --rport...

CVE-2026-67442

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. Prior to 1.3.3, DELETE /api/roles removes role definitions through server/runtime/users/usrstorage.js but does not remove the deleted role identifier from each user's info.roles array or the runtime usersMap cache. If a...

CVE-2026-67440

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the DEVICEBROWSE, DEVICENODEATTRIBUTE, HOSTINTERFACES, and DEVICETAGSREQUEST handlers in server/runtime/index.js return device-discovery, node-attribute, host-network-interface, and device-tag metadata...

CVE-2026-67443

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the allowDashboard authorization gate in server/integrations/node-red/index.js calls authJwt.verify for /nodered without inspecting the decoded identity. When nodeRedEnabled is true, secureEnabled is tru...

CVE-2026-65984

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, POST /api/refresh in server/api/auth/index.js falls back from current user data to decoded.groups, including when the user is deleted or groups is zero, and POST /api/heartbeat in server/api/index.js...

CVE-2026-65985

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. In 1.3.2 and earlier, the device-webapi-request Socket.IO handler in server/runtime/index.js permits an authenticated non-admin runtime user to control property.address, causing the FUXA server to issue an outbound HTTP or...

CVE-2026-47721

FUXA is a web-based Process Visualization SCADA/HMI/Dashboard software. Prior to 1.3.2, POST /api/scheduler and DELETE /api/scheduler in server/api/scheduler/index.js do not consistently enforce authJwt.haveAdminPermission for scheduler settings. An authenticated non-admin operator can create or...