CVE-2026-43946

Nome do Software Vulnerável e Versões Afetadas FUXA versões anteriores a 1.3.1

Descrição Existe uma falha de bypass de autorização no endpoint /api/getTagValue, permitindo o acesso não autenticado a valores de tags. Isso ocorre quando o script referenciado não existe, fazendo com que a função isAuthorisedByScriptName() retorne true. O problema decorre da criação de um token de convidado assinado quando nenhum x-access-token é fornecido, permitindo que a requisição prossiga como convidado. Se o sourceScriptName for omitido ou não corresponder a um script real, a verificação de autorização é ignorada e o endpoint retorna valores arbitrários de tags por ID.

Recomendações Atualize para a versão 1.3.1. Restrinja o acesso ao endpoint /api/getTagValue para minimizar o risco de exploração.