CVE-2025-66398

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 19.9%
CWE: CWE-78
KEV Durumu: Hayır

Yayım tarihi: 1 Ocak 2026

Etkilenen: signalk signal_k_server

Signal K Sunucusu, bir teknenin merkezi bir hub'nda çalışan bir sunucu uygulamasıdır. 2.19.0 sürümünden önce, kimliği doğrulanmamış bir saldırgan, `/skServer/validateBackup` endpoint'i aracılığıyla sunucunun dahili durumunu (`restoreFilePath`) kirletebilir. Bu, saldırgana, yöneticinin "Geri Yükle" işlevini ele geçirerek kritik sunucu yapılandırma dosyalarını (örneğin, `security.json`, `package.json`) üzerine yazma olanağı sağlar ve bu da hesap ele geçirilmesine ve Uzaktan Kod Yürütme (RCE)'ye yol açar. 2.19.0 sürümü bu güvenlik açığını düzeltir.

Orijinal açıklama (İngilizce)

Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.19.0, an unauthenticated attacker can pollute the internal state (`restoreFilePath`) of the server via the `/skServer/validateBackup` endpoint. This allows the attacker to hijack the administrator's "Restore" functionality to overwrite critical server configuration files (e.g., `security.json`, `package.json`), leading to account takeover and Remote Code Execution (RCE). Version 2.19.0 patches this vulnerability.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.