CVE-2026-25938

FUXA SCADA/HMI – pominięcie uwierzytelnienia umożliwiające RCE przez plugin Node-RED

CVSS 9.5v4.0pub. 2026-02-09upd. 2026-02-13

W oprogramowaniu FUXA (wersje 1.2.8–1.2.10) istnieje krytyczna podatność umożliwiająca nieuwierzytelnionemu, zdalnemu atakującemu wykonanie dowolnego kodu na serwerze. Podatność jest szczególnie niebezpieczna, ponieważ dotyczy systemów klasy SCADA/HMI, które często sterują infrastrukturą przemysłową.

▸ Pokaż oryginał (EN)

FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. From 1.2.8 through 1.2.10, an authentication bypass vulnerability in FUXA allows an unauthenticated, remote attacker to execute arbitrary code on the server when the Node-RED plugin is enabled. This has been patched in FUXA version 1.2.11.

🤖 Analiza AI

Jak działa

Podatność wynika z błędów klasy CWE-290 (pominięcie mechanizmu uwierzytelnienia poprzez spoofing) oraz CWE-306 (brak uwierzytelnienia dla funkcji krytycznych). Gdy w FUXA włączony jest plugin Node-RED, atakujący może ominąć wymagane uwierzytelnienie i uzyskać dostęp do funkcjonalności zastrzeżonych dla zalogowanych użytkowników. W rezultacie możliwe jest przesłanie i wykonanie dowolnego kodu na serwerze bez posiadania jakichkolwiek poświadczeń.

Skutki

Atakujący bez uwierzytelnienia może zdalnie wykonać dowolny kod na serwerze (RCE), co w środowisku SCADA/HMI może prowadzić do przejęcia pełnej kontroli nad systemem, zakłócenia procesów przemysłowych lub dalszego lateral movement w sieci OT/IT.

Mitygacja

Należy zaktualizować FUXA do wersji 1.2.11, w której podatność została usunięta. Patch dostępny jest w oficjalnym repozytorium GitHub pod adresem wskazanym w referencjach (commit 5e7679b oraz release v1.2.11). Do czasu aktualizacji zaleca się wyłączenie pluginu Node-RED oraz ograniczenie dostępu do interfejsu FUXA wyłącznie do zaufanych sieci.

Kogo dotyczy

Frangoteam FUXA w wersjach od 1.2.8 do 1.2.10 (włącznie) z włączonym pluginem Node-RED.

Uwagi

Podatność dotyczy oprogramowania klasy SCADA/HMI stosowanego w środowiskach przemysłowych – nawet bez potwierdzonego exploitu w CISA KEV, ekspozycja interfejsu na sieć publiczną jest szczególnie ryzykowna. Szczegóły techniczne dostępne w security advisory GHSA-v4p5-w6r3-2x4f.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X