CVE-2026-55591

Signal K Server gəmidəki mərkəzi hub-da işləyən server tətbiqidir. Versiya 2.28.0-dan əvvəl, src/serverroutes.ts faylındakı makeRemoteRequest() funksiyası testSignalKConnection, requestAccess və checkAccessRequest son nöqtələrindən (endpoints) təyinat yerini yoxlamadan hücum edən tərəf tərəfindən idarə olunan host, port, useTLS və selfsignedcert parametrlərini qəbul edirdi. Təhlükəsizlik konfiqurasiya edilmədikdə, dummysecurity.ts faylındakı addAdminMiddleware() funksiyası heç bir əməliyyat yerinə yetirmirdi (no-op), bu da hər üç son nöqtənin autentifikasiyasız əlçatan qalmasına səbəb olurdu. Server məcburi şəkildə loopback, şəxsi (private), link-local, bulud meta-məlumatları və ya istənilən xarici ünvanlarla əlaqə qurmağa məcbur edilə bilərdi və selfsignedcert parametri çıxan HTTPS sorğuları üçün sertifikat yoxlamasını deaktiv edə bilərdi. checkAccessRequest son nöqtəsi həmçinin requestId parametrini təyinat yoluna daxil edirdi ki, bu da seçilmiş host-dakı digər yollara keçidə (traversal) imkan verirdi. Fərqli uğurlu, bağlantının rədd edilməsi və vaxtaşırı (timeout) cavablar daxili port skanlaşdırılmasını mümkün edirdi; qaytarılan cavab gövdələri bulud meta-məlumatlarının və daxili servis məlumatlarının sızdırılmasına imkan verirdi; requestAccess hücum edən tərəfin idarə etdiyi JSON ilə server tərəfli POST sorğularını aktivləşdirirdi və klaster daxili servislərə giriş lateral hərəkətləri dəstəkləyə bilərdi. Bu problem 2.28.0 versiyasında düzəldilib.