PT-2026-141120
CVE-2026-123807
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Signal K Server الإصدارات من 2.0.0 إلى 2.33.9
@signalk/resources-provider الإصدارات من 1.0.0 إلى 1.5.2
Description
Signal K Server هو تطبيق خادم يعمل على مركز مركزي في القارب. توجد مشكلة تجاوز المسار (path traversal) في مسار REST v2 وهو 'GET /signalk/v2/api/resources/:resourceType/:resourceId' حيث يمكن لـ
resourceId غير آمن الهروب من دليل الموارد المقصود. يقوم المسار بتمرير resourceId عبر src/api/resources/index.ts إلى الدالة getResource() في packages/resources-provider-plugin/src/filestorage.ts دون احتواء مناسب للمسار، مما يسمح بقراءة ملفات JSON عشوائية يمكن للخادم الوصول إليها. بالإضافة إلى ذلك، يمكن لعمليات PUT و DELETE ذات الصلة كتابة أو حذف ملفات خارج جذر التخزين. تسمح عمليات النشر التي تم تفعيل allow readonly فيها بالقراءة المجهولة، بينما تتطلب العمليات الأخرى رمز مستخدم للقراءة فقط. تؤدي قراءة ملف security.json إلى كشف سر توقيع JWT من نوع HS256 وتجزئات كلمات المرور، مما يسمح للمهاجم بتزوير رمز مسؤول. ومن خلال الوصول الإداري إلى نقطة النهاية 'POST /skServer/providers'، يمكن للمهاجم إنشاء مزود تنفيذ (Execute provider) لتشغيل أوامر بصلاحيات عملية الخادم وبقاء التكوين مستمراً بعد إعادة التشغيل.Recommendations
تحديث Signal K Server إلى الإصدار 2.34.0.
تحديث @signalk/resources-provider إلى الإصدار 1.5.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾