CVE-2025-69983: FUXA: Execução Remota de Código via Importação de Projeto (CWE-94)

Visão geral

A CVE-2025-69983 é uma fraqueza de injeção de código (CWE-94) no Frangoteam FUXA na versão 1.2.7. Segundo o registro, a funcionalidade de importação de projetos não sanitiza nem isola adequadamente scripts fornecidos pelo usuário presentes nos arquivos de projeto importados. Assim, um arquivo de projeto malicioso poderia fazer o servidor executar comandos do sistema.

Impacto

O registro descreve execução remota de código que leva ao comprometimento total do sistema. O NVD avalia a vulnerabilidade com pontuação base CVSS 3.1 de 9.8; o vetor indica vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.

Confidencialidade, integridade e disponibilidade aparecem como altas no vetor do NVD.
Uma segunda pontuação, 8.2 (CVSS 3.1), aparece no registro de outro provedor não identificado.

Produtos e versões afetados

Produto: Frangoteam Fuxa.
Versão afetada listada: 1.2.7.
O registro não lista outras versões afetadas, por isso a faixa de versões vulneráveis é desconhecida.
O registro não informa nenhuma versão corrigida.

A principal referência é o arquivo do repositório FUXA responsável pelos projetos: código da API de projetos do FUXA.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada em ambiente real aparece nas fontes consultadas. A pontuação EPSS não está disponível no registro.

Correção e mitigação

Verifique o repositório do projeto FUXA e os canais do fabricante em busca de uma versão atualizada que trate o problema. O registro não identifica uma.
Enquanto uma correção não for confirmada, restrinja quem pode importar arquivos de projeto e limite essa função a administradores confiáveis.
Não exponha a interface web do FUXA diretamente a redes não confiáveis; use segmentação de rede, VPN ou controles de acesso.
Execute o serviço com o menor privilégio possível, para que um processo comprometido tenha acesso limitado ao host.
Trate arquivos de projeto de origem externa ou não verificada como não confiáveis e revise-os antes da importação.

Orientação para detecção

Registre e revise os eventos de importação de projetos, incluindo quem os realizou e de qual endereço.
Monitore o host do FUXA em busca de processos filhos inesperados, novas conexões de rede ou alterações em arquivos e tarefas agendadas originadas pela aplicação.
Gere alertas para importações realizadas fora das janelas normais de manutenção.

Limitações das informações disponíveis

O registro não fornece versão corrigida, aviso oficial do fabricante, condições técnicas detalhadas para a exploração nem a lista completa de versões afetadas. As pontuações CVSS vêm do NVD e de um outro provedor não identificado. Não há dados de KEV, SSVC ou EPSS. A exposição de uma implantação específica depende de configurações locais que o registro não descreve.

Perguntas frequentes

O que é a CVE-2025-69983?

É uma fraqueza de injeção de código (CWE-94) no Frangoteam FUXA 1.2.7. A função de importação de projetos não sanitiza nem isola adequadamente scripts fornecidos pelo usuário, o que, segundo o registro, pode levar à execução remota de código.

Qual é a gravidade?

O NVD a classifica como crítica, com pontuação base CVSS 3.1 de 9.8. O registro também mostra uma pontuação 8.2 de outro provedor não identificado.

Existe correção disponível?

O registro não informa nenhuma versão corrigida. Consulte o repositório do FUXA e os canais do fabricante e restrinja as importações de projeto até que uma correção seja confirmada.

Há exploração ativa?

A CVE não consta no catálogo KEV no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.