PT-2026-122084
CVE-2026-115752
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
4.2
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Signal K Server الإصدارات من 2.28.0-beta.2 إلى 2.33.x
الوصف
توجد مشكلة في جالب أيقونات متجر التطبيقات التي تثق في عناوين
signalk.appIcon المطلقة، مما يؤدي إلى تزوير الطلبات من جانب الخادم (SSRF). يحدث هذا عندما يقوم المهاجمون بنشر حزم npm تحتوي على كلمات مفتاحية لـ Signal K، مما يسمح لهم بإجبار الخوادم على طلب نقاط نهاية loopback، أو شبكة السفينة، أو نقاط نهاية بيانات cloud الوصفية. يتم بعد ذلك تخزين الاستجابات ذات النوع الصوري الناتجة عن هذه الطلبات وعرضها عبر واجهة المسؤول.التوصيات
تحديث Signal K Server إلى الإصدار 2.34.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾