CVE-2026-118690
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.7%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 28 Ekim 2026
Signal K Sunucusu 2.33.0 sürümünden önce, bir kimlik doğrulama eksikliği içerir ve bu da uzaktan saldırganların /skServer/ziplogs endpointi aracılığıyla log arşivlerini indirmelerine olanak tanır. Saldırganlar ZIP içindeki security.json'dan JWT secretKey'yi çıkarabilir, yönetici tokenleri oluşturabilir ve tam sunucu kontrolü için kalıcı yönetici hesapları oluşturabilir.
Orijinal açıklama (İngilizce)
Signal K Server before 2.33.0 contains a missing authentication vulnerability that allows unauthenticated remote attackers to download log archives via the /skServer/ziplogs endpoint. Attackers can extract the JWT secretKey from security.json in the ZIP, forge administrator tokens, and create persistent admin accounts for full server control.
Referanslar
- https://github.com/SignalK/signalk-server
- https://github.com/SignalK/signalk-server/blob/v2.32.0/src/interfaces/logfiles.js#L30-L91
- https://github.com/SignalK/signalk-server/commit/728bab82742d16c54e50525b95dc9b6e32396107
- https://github.com/SignalK/signalk-server/releases/tag/v2.33.0
- https://github.com/SignalK/signalk-server/security/advisories/GHSA-4w32-qx5g-cpwv
- https://www.vulncheck.com/advisories/signal-k-server-before-2.33.0-missing-authentication-via-skserver-ziplogs
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.