CVE-2026-67443

Nome do Software Vulnerável e Versões Afetadas FUXA versões anteriores a 1.3.3

Description Existe uma falha de bypass de autorização no gate allowDashboard em server/integrations/node-red/index.js, onde a função authJwt.verify é chamada para o endpoint /nodered sem inspecionar a identidade decodificada. Quando nodeRedEnabled, secureEnabled e nodeRedAuthMode estão configurados como seguros, um atacante remoto não autenticado pode obter um token de convidado assinado através do endpoint POST /api/heartbeat para acessar o editor RED.httpAdmin e a API de implantação de fluxos. Devido à ausência de um segundo gate adminAuth na configuração do Node-RED, um atacante pode implantar nós de função ou invocar as funções fuxa.runScript() e runtime.scriptsMgr.runScript(). Isso permite o controle não autorizado de dados do projeto, configurações, scripts e auxiliares de tempo de execução com capacidade de sistema de arquivos, podendo levar à execução de comandos do sistema operacional se nodeRedUnsafeModules estiver habilitado.

Recommendations Atualizar para a versão 1.3.3.