PT-2026-129193
CVE-2026-118690
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Signal K Server الإصدارات السابقة لـ 2.33.0
Description
تسمح ثغرة في المصادقة للمهاجمين عن بُعد غير المصرح لهم بتنزيل أرشيفات السجلات عبر نقطة النهاية '/skServer/ziplogs'. ومن خلال الوصول إلى ملف ZIP، يمكن للمهاجمين استخراج
secretKey من ملف security.json. يتيح ذلك تزوير رموز JSON Web Tokens (JWT)—وهو معيار لنقل المعلومات بشكل آمن بين الأطراف ككائن JSON—لإنشاء حسابات مسؤول دائمة والسيطرة الكاملة على الخادم.Recommendations
تحديث Signal K Server إلى الإصدار 2.33.0 أو أحدث.
تقييد الوصول إلى نقطة النهاية '/skServer/ziplogs' لتقليل مخاطر الاستغلال.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾