CVE-2025-69971: FUXA: chave JWT fixa no código permite contornar autenticação

Visão geral

A CVE-2025-69971 afeta o FUXA v1.2.7, produto da Frangoteam. Segundo o registro, a aplicação assina e verifica tokens JWT com uma chave secreta fixa no código, em server/api/jwt-helper.js, fraqueza classificada como CWE-798.

Impacto

Segundo o registro, um atacante remoto poderia forjar tokens válidos de administrador.
O registro indica que isso permite contornar a autenticação e obter acesso administrativo total.
A NVD atribui pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede, nenhum privilégio exigido e nenhuma interação do usuário.

Produtos e versões afetadas

Frangoteam Fuxa, versão 1.2.7, conforme listado no registro.
O registro não informa se outras versões são afetadas; essa informação é desconhecida.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas.
O registro não contém detalhes de exploração, e esta análise também não os fornece.

Correção e mitigação

O registro não traz versão corrigida nem correção do fornecedor. A ausência de correção no registro não significa que ela não exista, então verifique o arquivo de origem do FUXA e o projeto para atualizações.
Como o segredo está embutido no código, alterar apenas a configuração pode não bastar. Mover a chave de assinatura para uma fonte protegida e específica de cada implantação é a direção típica de correção (inferência).
Restrinja o acesso de rede às interfaces administrativas do FUXA e evite expor o serviço a redes não confiáveis.
Considere tokens assinados com a chave conhecida como potencialmente forjáveis. Após qualquer troca de segredo, invalide as sessões existentes.

Orientação para detecção

Revise os logs de autenticação em busca de ações administrativas sem login legítimo correspondente ou vindas de origens inesperadas.
Monitore alterações inesperadas em usuários, papéis ou configurações da instância do FUXA.
Confirme se as versões implantadas contêm o arquivo afetado e o mesmo comportamento de chave fixa.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor, versão corrigida nem evidência de exploração.
Apenas o arquivo de origem consta como referência de produto, por isso o intervalo afetado além da versão 1.2.7 é desconhecido.
Detalhes técnicos além da descrição do registro não são documentados aqui.

Perguntas frequentes

O que é a CVE-2025-69971?

É uma fraqueza de credencial fixa no código do FUXA v1.2.7. O segredo de assinatura JWT está embutido em server/api/jwt-helper.js, o que, segundo o registro, poderia permitir que atacantes remotos forjem tokens de administrador.

Existe versão corrigida?

O registro não lista versão corrigida. Isso não significa que não exista correção, então consulte o projeto upstream para atualizações.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.