CVE-2026-43947

Nome do Software Vulnerável e Versões Afetadas FUXA versão 1.3.0

Descrição Um problema de Execução Remota de Código não autenticada ocorre quando secureEnabled está definido como true. O endpoint POST /api/runscript valida a autorização com base na permissão de um script armazenado por ID. No entanto, se test: true for incluído na requisição, o sistema compila e executa o código fornecido pelo invasor em vez do código do script armazenado. Um invasor não autenticado pode executar código arbitrário se possuir um ID e nome de script válidos, e se pelo menos um script do lado do servidor existir no projeto sem permissões restritivas. IDs e nomes de scripts podem ser obtidos através do endpoint GET /api/project. O processo de exploração envolve a função runTestScript, que utiliza Module. compile para executar a variável code do corpo da requisição com acesso total ao runtime do Node.js, incluindo child process e fs.

Recomendações Atualize o FUXA para a versão 1.3.1. Como medida de mitigação temporária, restrinja o acesso ao endpoint POST /api/runscript.