CVE-2025-69970: Frangoteam FUXA 1.2.7: Ausência de Autenticação por Configuração Padrão Insegura

Visão geral

Esta CVE afeta o FUXA da Frangoteam na versão 1.2.7. O registro da CNA descreve uma configuração padrão insegura no arquivo server/settings.default.js, em que a flag 'secureEnabled' está comentada. Como consequência, a aplicação inicia com a autenticação desabilitada.

Impacto

Segundo a descrição da CNA, um atacante remoto não autenticado poderia acessar endpoints sensíveis da API, modificar projetos e controlar equipamentos industriais logo após a instalação. O vetor CVSS indicado pela CNA aponta alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade.

Produtos e versões afetadas

Frangoteam Fuxa, versão 1.2.7 (conforme listado no registro da CNA).
Nenhuma outra versão afetada consta nas fontes consultadas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Nenhuma versão corrigida consta no registro. Verifique o repositório oficial do FUXA para atualizações e para o estado atual da configuração padrão.
Enquanto não houver correção confirmada, não exponha instâncias do FUXA a redes não confiáveis e restrinja o acesso a administradores de confiança por meio de segmentação de rede.
Revise o arquivo de configuração padrão e garanta que a autenticação esteja habilitada antes de colocar o serviço em uso.
Considere instâncias instaladas com as configurações padrão como potencialmente expostas e verifique sua configuração.

Orientações de detecção

Faça o inventário de todas as implantações do FUXA e identifique as que executam a versão 1.2.7.
Revise os logs de acesso web e da API em busca de requisições a endpoints administrativos ou de gerenciamento de projetos vindas de origens inesperadas.
Procure alterações inexplicadas em projetos ou configurações e compare-as com backups conhecidos como íntegros.

Limitações das informações disponíveis

O registro não lista versão corrigida, patch nem aviso oficial do fabricante.
O registro não descreve os endpoints específicos da API afetados.
Não há pontuação EPSS nem dados SSVC disponíveis.
O vetor CVSS indica interação do usuário como necessária (UI:R), e o registro não detalha essa condição.
As fontes consultadas não confirmam se outras versões do FUXA são afetadas.

Perguntas frequentes

Qual é a causa raiz da CVE-2025-69970?

Segundo o registro da CNA, a flag 'secureEnabled' em server/settings.default.js está comentada por padrão, então o FUXA 1.2.7 inicia com a autenticação desabilitada.

Existe uma versão corrigida?

Nenhuma versão corrigida consta nas fontes consultadas. O status de uma correção é desconhecido, então verifique o repositório oficial do FUXA para atualizações.

Esta CVE é conhecida por ser explorada na natureza?

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.