FUXA未授权远程代码执行-附POC

一、免责声明：

      本次文章仅限个人学习使用，如有非法用途均与作者无关，且行且珍惜；由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号望雪阁及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除整改并向您致以歉意。谢谢！

二、产品介绍：

      FUXA是一个基于网络的过程可视化（SCADA/HMI/Dashboard）软件。使用FUXA可以创建具有个性化设计和实时数据显示的现代过程可视化。

      受影响版本存在未授权远程代码执行漏洞。在/api/runscript端点中由于未过滤用户输入，导致存在远程代码执行漏洞。攻击者能够通过构建POST请求执行任意命令。

受影响版本：FUXA<=1.1.13

三、资产梳理：

fofa：title="FUXA"

四、漏洞复现：

五、POC：

https://github.com/rodolfomarianocy/Unauthenticated-RCE-FUXA-CVE-2023-33831

原文始发于微信公众号（fly的渗透学习笔记）：FUXA未授权远程代码执行-附POC