CVE-2026-123807

Nome do Software Vulnerável e Versões Afetadas Signal K Server versões 2.0.0 até 2.33.9 @signalk/resources-provider versões 1.0.0 até 1.5.2

Description Signal K Server é uma aplicação de servidor que corre num hub central num barco. Existe um problema de path traversal na rota REST v2 'GET /signalk/v2/api/resources/:resourceType/:resourceId' onde um resourceId inseguro pode escapar do diretório de recursos pretendido. A rota passa o resourceId através de src/api/resources/index.ts para a função getResource() em packages/resources-provider-plugin/src/filestorage.ts sem a contenção de caminho adequada, permitindo a leitura de ficheiros JSON arbitrários acessíveis pelo servidor. Além disso, operações PUT e DELETE relacionadas podem escrever ou eliminar ficheiros fora da raiz de armazenamento. Implementações com allow readonly ativado permitem leituras anónimas, enquanto outras requerem um token de utilizador de apenas leitura. A leitura do ficheiro security.json expõe o segredo de assinatura JWT HS256 e hashes de palavras-passe, permitindo a falsificação de um token de administrador. Com acesso administrativo ao endpoint 'POST /skServer/providers', um atacante pode criar um provedor Execute para executar comandos com privilégios de processo do servidor e persistir a configuração após reinicializações.

Recommendations Atualizar o Signal K Server para a versão 2.34.0. Atualizar o @signalk/resources-provider para a versão 1.5.3.