PT-2026-69470
CVE-2026-72586
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات frangoteam/FUXA الأقدم من 1.3.4
الوصف
ثغرة تتعلق بغياب المصادقة تسمح لمهاجم بعيد غير مصادق عليه بالاستعلام عن جميع بيانات المستشعرات التاريخية. يحدث هذا لأن معالج أحداث Socket.IO
DAQ QUERY في ملف server/runtime/index.js لا يستدعي الدالة isSocketAdminAuthorized() للتحقق من رمز الاتصال، حتى عندما تكون قيمة secureEnabled مضبوطة على true. أما أحداث Socket.IO الحساسة الأخرى، مثل DEVICE BROWSE وHOST INTERFACES وDEVICE TAGS REQUEST، فتنفذ فحص التفويض هذا بشكل صحيح.التوصيات
قم بتحديث frangoteam/FUXA إلى الإصدار 1.3.4 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى حدث
DAQ QUERY في Socket.IO.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾