CVE-2026-25895criticalexplotación observadaCWE-22CWE-306

CVE-2026-25895: fallo crítico en frangoteam FUXA

FUXA Unauthenticated Remote Code Execution via Arbitrary File Write in Upload API

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear FUXA+ Monitorear fuxa-server

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 9.5epss 13%
de la publicación al arma74 días
Publicada en NVD9 feb
1ª PoC+74d
VulnCheck+190d
FUXA is a web-based Process Visualization (SCADA/HMI/Dashboard) software. A path traversal vulnerability in FUXA allows an unauthenticated, remote attacker to write arbitrary files to arbitrary locations on the server filesystem. This affects FUXA through version 1.2.9. This issue has been patched in FUXA version 1.2.10.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Productos afectados
frangoteam · FUXA
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — frangoteam FUXA

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-25939CRITICALFUXA Unauthenticated Remote Arbitrary Scheduler WriteEPSS 12.5%CVE-2026-47717HIGHFUXA's Unauthenticated Project Data Disclosure Exposes Server-Side Scripts and Device ConfigurationsEPSS 1.4%CVE-2026-25951HIGHFUXA has a Path Traversal Sanitization BypassEPSS 1.3%CVE-2026-25938CRITICALFUXA Unauthenticated Remote Code Execution in Node-RED IntegrationEPSS 1.1%CVE-2026-43947HIGHFUXA Vulnerable to Unauthenticated Remote Code Execution via Script Test Mode Authorization BypassEPSS 0.9%CVE-2026-25894CRITICALFUXA Unauthenticated Remote Code Execution via Hardcoded JWT Secret in Default ConfigurationEPSS 0.8%