CVE-2026-25895: FUXA: path traversal com escrita arbitrária de arquivos e risco de execução remota de código sem autenticação
A NVD classifica esta falha de path traversal no FUXA como crítica (pontuação 9.8), pois permite que atacantes remotos sem autenticação gravem arquivos arbitrários no servidor. Versões anteriores à 1.2.10 são afetadas e a correção está disponível na 1.2.10. O registro não indica exploração confirmada nas fontes consultadas.
Visão geral
O FUXA é um software web de visualização de processos para uso em SCADA, HMI e dashboards. O aviso do GitHub e o registro no NVD descrevem uma falha de path traversal que permite a um atacante remoto, sem autenticação, gravar arquivos em locais arbitrários do sistema de arquivos do servidor.
Impacto
- Confirmado: escrita arbitrária de arquivos, acessível remotamente e sem autenticação.
- Inferência: a gravação de arquivos arbitrários em um servidor de visualização industrial pode comprometer integridade e disponibilidade. Dependendo da implantação, também pode viabilizar execução de código, o que o título do registro descreve como execução remota de código.
- O NVD atribui pontuação 9.8 (crítica). O GitHub, como CNA, atribui 9.5.
Produtos e versões afetadas
- Produto: Frangoteam Fuxa.
- Afetados: versões anteriores à 1.2.10, ou seja, até a 1.2.9 inclusive.
- Corrigido na: 1.2.10.
- O registro não traz outros detalhes de versão.
Status de exploração
O registro indica que o FUXA não consta no catálogo KEV da CISA e que a exploração na avaliação SSVC está como none. Nas fontes consultadas não há exploração confirmada.
Correção e mitigação
- Atualize o FUXA para a versão 1.2.10, que contém a correção referenciada no commit do projeto.
- Se a atualização não puder ser feita de imediato, restrinja o acesso de rede à interface do FUXA, evite exposição direta à internet e coloque o sistema atrás de controles de acesso autenticados. São recomendações gerais, não instruções do fornecedor.
- Consulte o aviso do GitHub para as orientações do próprio fornecedor.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições inesperadas a endpoints de upload, especialmente de origens desconhecidas.
- Monitore a criação ou alteração de arquivos fora da pasta de upload esperada, incluindo diretórios de aplicação e de configuração.
- Considere monitoramento de integridade de arquivos nos hosts que executam o FUXA.
Limitações das informações disponíveis
- O registro não identifica o endpoint vulnerável exato, os tipos de arquivo envolvidos nem as condições necessárias para a exploração.
- O registro não informa se existem soluções alternativas além da atualização.
- A exposição de uma implantação específica depende da configuração de rede, que as fontes não descrevem.
Perguntas frequentes
Qual é o problema central do CVE-2026-25895?
O FUXA apresenta uma falha de path traversal no tratamento de uploads que permite a um atacante remoto, sem autenticação, gravar arquivos em locais arbitrários do servidor. O registro associa a falha ao CWE-22, Path Traversal.
Quais versões do FUXA são afetadas e o que corrige o problema?
Versões anteriores à 1.2.10 são afetadas, ou seja, até a 1.2.9. Segundo o registro, o problema foi corrigido na versão 1.2.10.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.