PT-2026-7187 · Fuxa · Fuxa

H1Dr1 · Publicado 2026-02-09 · Atualizado 2026-02-11 · CVE-2026-25951

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do FUXA anteriores à 1.2.11

Descrição O FUXA é um software de Visualização de Processos baseado na web. Uma falha na lógica de sanitização de caminhos permite que um atacante autenticado com privilégios administrativos contorne as proteções contra traversal de diretório. Utilizando sequências de traversal aninhadas (ex.: ....//), um atacante pode gravar arquivos arbitrários no sistema de arquivos do servidor, incluindo diretórios sensíveis como runtime/scripts. Isso pode levar à Execução Remota de Código (RCE) quando o servidor recarrega os scripts maliciosos. A vulnerabilidade está relacionada à validação de entrada insuficiente ao manipular caminhos de arquivo.

Recomendações Atualize para a versão 1.2.11 ou posterior.

Exploit

Correção

RCE

Incomplete List of Disallowed Inputs

Path traversal

Relative Path Traversal

Enumeração de Fraquezas

CWE-184

CWE-22

CWE-23

Identificadores relacionados

CVE-2026-25951

GHSA-68M5-5W2H-H837

Produtos afetados

Fuxa

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25951.json · Exploit
• https://github.com/frangoteam/FUXA · Nota
• https://github.com/frangoteam/FUXA/commit/f7a9f04b2ab97ab5421e4ec4e711c51e9f4b65c8 · Correção
• https://github.com/frangoteam/FUXA/commit/3ecce46333ed33e3f66f378e38e317cde702b0ae · Nota
• https://github.com/frangoteam/FUXA/pull/2177 · Nota
• https://github.com/frangoteam/FUXA/security/advisories/GHSA-68m5-5w2h-h837 · Aviso do Fabricante
• https://github.com/frangoteam/FUXA/releases/tag/v1.2.11 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-25951 · Nota de Segurança
• https://twitter.com/0xh1dr1/status/2021606860713799821 · Publicação no Twitter
• https://t.me/CVEtracker/44243 · Publicação no Telegram
• https://twitter.com/_cvereports/status/2021036417959289258 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2020995941734678654 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-68m5-5w2h-h837 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1r1174e/resumen_diario_de_vulnerabilidades_10022026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-25951 · Aviso do Fabricante