PT-2026-47618
CVE-2026-47721
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FUXA الأقدم من 1.3.2
الوصف
يوجد ثغرة في تجاوز التفويض في واجهة برمجة تطبيقات المجدول (Scheduler API)، حيث يفشل النظام في فرض أذونات المسؤول بشكل متسق. يمكن لمشغل مصادق عليه وليس مسؤولاً إنشاء أو تعديل
deviceActions التي تستدعي onSetValue أو onRunScript، أو حذف الجداول الزمنية الموجودة. وهذا يسمح بالوصول غير المصرح به إلى تغييرات قيم الأجهزة وتنفيذ نصوص برمجية المشاريع من جانب الخادم، وهي امتيازات محفوظة عادةً للمسؤولين. في عمليات نشر SCADA، قد يؤدي هذا إلى التحكم غير المصرح به في نقاط ضبط PLC، وأقفال الأمان، وحالات الأجهزة. ونظرًا لأن هذه الإجراءات يمكن جدولتها أو تكرارها، فقد تستمر في التنفيذ وتعديل بيانات المشروع حتى بعد انتهاء جلسة عمل المشغل.تؤثر هذه المشكلة على نقاط نهاية واجهة برمجة التطبيقات (API) التالية:
-
’POST /api/scheduler‘
-
’DELETE /api/scheduler‘
التوصيات
تحديث FUXA إلى الإصدار 1.3.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾