Vulnérabilité dans fuxa-server (CVE-2026-47721)
Résumé
Vulnérabilité dans fuxa-server (CVE-2026-47721). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /api/scheduler.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An authorization issue in the Scheduler API allowed authenticated non-admin users to create or modify scheduled actions that should be restricted to administrators.
Details
The Scheduler API did not correctly enforce administrator permissions when processing scheduler modifications.
As a result, authenticated users with non-administrative roles could create or modify scheduled actions that execute privileged operations, including device value changes and server-side script execution.
The issue was fixed in version 1.3.2 by enforcing the appropriate permission checks for scheduler modifications.
Impact
An operator-level user in FUXA reaches the PLC-write and server-side-script-execution surface that the platform otherwise restricts to administrators. In a SCADA deployment those two privileges cover setpoint control and the automation scripting engine. Alice schedules a job that rewrites a pump's enable tag, opens a safety interlock, or runs a project script that walks the device tree. The scheduled-action model extends the attack: Alice does not need to keep a session open for the action to fire, and a repeating schedule re-applies her changes every cycle even if an admin reverts them manually.
CVSS 3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L (Medium, 6.3). CWE-862.
Recommended Fix
Add authJwt.haveAdminPermission(permission) to both POST /api/scheduler and DELETE /api/scheduler, matching every other write endpoint that reaches `runtime.de…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-47721 a été découverte dans fuxa-server.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /api/scheduler à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.3/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « fuxa-server CVE-2026-47721 » sur le site de l'éditeur.
CVE-2026-47721 (fuxa-server) — CWE-862 / CVSS v3 6.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : POST /api/scheduler / DELETE /api/scheduler / runtime.devices.setTagValue / runtime.scriptsMgr.runScript
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-862) affecte fuxa-server. Les attaquants atteignent le code vulnérable via POST /api/scheduler.
Consultez l'avis de l'éditeur pour les versions affectées de fuxa-server. Surface d'attaque : POST /api/scheduler / DELETE /api/scheduler / runtime.devices.setTagValue / runtime.scriptsMgr.runScript.
Gravité : Moyenne (CVSS 6.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers POST /api/scheduler (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver fuxa-server.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'fuxa-server' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
fuxa-serverを grep し、稼働しているサービス・バージョンを把握する。 -
2Hunt for indicators of compromise detect
grep 'POST /api/scheduler' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
POST /api/schedulerへの異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Post-deployment verification verify
Replay attack against POST /api/scheduler on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。