CVE-2026-67442
Publiée le 2026-08-18 · Dernière modification le 2026-10-22
Les versions du logiciel SCADA basé sur le web FUXA antérieures à la 1.3.3 ne suppriment pas complètement les identifiants de rôle des utilisateurs lorsqu'un rôle est supprimé. Cela permet à un utilisateur de conserver des permissions d'accès spécifiques que l'administrateur avait l'intention de révoquer. L'exploitation de cette faille est difficile, car elle nécessite qu'un attaquant dispose déjà de privilèges de haut niveau et dépend d'une séquence spécifique de modifications administratives.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. Prior to 1.3.3, DELETE /api/roles removes role definitions through server/runtime/users/usrstorage.js but does not remove the deleted role identifier from each user's info.roles array or the runtime usersMap cache. If a permission configuration still references that identifier, an affected user can retain authorization rights that an administrator intended to revoke, causing residual privilege, inconsistent access-control state, and misleading audit results. This issue is fixed in version 1.3.3.