PT-2026-1015

CVE-2025-66398

Publicado

2026-01-01

Atualizado

2026-10-01

Descrição por

CVSS 3.1

9.6

Crítica

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Signal K Server anteriores a 2.19.0

Descrição O Signal K Server, uma aplicação de servidor utilizada em embarcações, é vulnerável a uma falha na qual um atacante não autenticado pode manipular o estado interno do servidor. Essa manipulação ocorre através do endpoint da API /skServer/validateBackup, visando especificamente a variável restoreFilePath. A exploração bem-sucedida permite que um atacante sequestre a funcionalidade de "Restore" do administrador, possibilitando sobrescrever arquivos críticos de configuração do servidor, como security.json e package.json. Isso pode levar à tomada de controle de conta e à Execução Remota de Código (RCE).

Recomendações As versões anteriores a 2.19.0 devem ser atualizadas para a versão 2.19.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-913: Improper Control of Dynamically-Managed Code Resources

Identificadores relacionados

CVE-2025-66398