PT-2026-21744 · Fuxa · Fuxa

CVE-2025-69985 · Publicado 2026-02-24 · Atualizado 2026-04-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas FUXA versões 1.2.8 e anteriores

Descrição As versões 1.2.8 e anteriores do FUXA contêm um problema de Bypass de Autenticação que pode levar à Execução Remota de Código (RCE). O problema está localizado no middleware server/api/jwt-helper.js, que incorretamente confia no cabeçalho HTTP "Referer" para validar requisições internas. Um atacante remoto não autenticado pode contornar a autenticação JWT manipulando o cabeçalho Referer para corresponder ao host do servidor. A exploração bem-sucedida concede acesso ao endpoint protegido /api/runscript, permitindo que o atacante execute código Node.js arbitrário no servidor.

Recomendações As versões anteriores a 1.2.8 devem ser atualizadas.

Exploit

Correção

RCE

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

CVE-2025-69985

GHSA-4R4R-4JP4-WWF9

Produtos afetados

Fuxa

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/69xxx/CVE-2025-69985.json · Exploit
• 🔥 https://exploit-db.com/exploits/52544 · Exploit
• 🔥 https://gist.github.com/lihy10/8cb2dd65ebf1385f12a7e00e25a50d40 · Exploit
• https://github.com/frangoteam/FUXA · Nota
• https://github.com/frangoteam/FUXA/blob/master/server/api/jwt-helper.js · Nota
• https://twitter.com/CVEnew/status/2027841538571833691 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2027842730802463131 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-4r4r-4jp4-wwf9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-69985 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-69985 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2026432871926239688 · Publicação no Twitter
• https://t.me/CVEtracker/45615 · Publicação no Telegram
• https://twitter.com/cracbot/status/2028062894353797574 · Publicação no Twitter
• https://twitter.com/Junior_Baines/status/2048906462970450111 · Publicação no Twitter