CVE-2026-47721— FUXA Scheduler API缺少管理员检查，支持操作员到管理员的权限提升
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-47721 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
FUXA: Scheduler API missing admin check enables operator-to-admin escalation via scheduled device actions
来源: CVE Program / CVE List V5
Vulnerability Description
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.2, POST /api/scheduler and DELETE /api/scheduler in server/api/scheduler/index.js do not consistently enforce authJwt.haveAdminPermission for scheduler settings. An authenticated non-admin operator can create or alter deviceActions that invoke onSetValue or onRunScript, or delete schedules, gaining access to device-value changes and server-side project script execution normally reserved for administrators. Scheduled and repeating actions can continue changing PLC setpoints, safety interlocks, device state, or project data after the operator's session ends. This issue is fixed in version 1.3.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| frangoteam | FUXA | < 1.3.2 | - |
二、漏洞 CVE-2026-47721 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-47721 的情报信息
请登录查看更多情报信息。
CVE-2026-47721 补丁与修复 (2)
CVE-2026-47721 厂商安全公告 (1)
CVE-2026-47721 厂商页面 (1)
- 🔗 Release v1.3.2 · frangoteam/FUXA · GitHubx_refsource_MISC
同批安全公告 · frangoteam · 2026-08-18 · 共 8 条
| CVE-2026-67443 | 9.2 CRITICAL | FUXA 未认证访客 JWT 绕过 Node-RED 安全模式授权（远程脚本执行） |
| CVE-2026-47719 | 8.2 HIGH | FUXA 未授权SSRF漏洞 |
| CVE-2026-65984 | 7.5 HIGH | FUXA JWT生命周期缺陷致用户权限滥用 |
| CVE-2026-67440 | 6.9 MEDIUM | FUXA Socket.IO未授权读取事件漏洞 |
| CVE-2026-65985 | 6.0 MEDIUM | FUXA device-webapi-request SSRF硬增强 |
| CVE-2026-47720 | 5.3 MEDIUM | FUXA TDengine DAQ连接器SQL注入漏洞 |
| CVE-2026-67442 | 2.0 LOW | FUXA 业务逻辑缺陷：未清理用户角色删除 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-47721
暂无评论