CVE-2026-23515
Açıklama
Signal K Server, bir teknedeki merkezi bir merkezde çalışan bir sunucu uygulamasıdır. 1.5.0 sürümünden önce, set-system-time eklentisi etkinleştirildiğinde, yazma izinlerine sahip kimliği doğrulanmış kullanıcıların Signal K sunucusunda rastgele kabuk komutları yürütmesine olanak tanıyan bir komut enjeksiyonu zafiyeti bulunmaktadır. Güvenlik Signal K sunucusunda devre dışı bırakılmışsa, kimliği doğrulanmamış kullanıcılar da bu zafiyeti istismar edebilir. Bu durum, WebSocket delta mesajları aracılığıyla alınan navigation.datetime değerleri işlenirken kabuk komutlarının güvenli olmayan şekilde oluşturulmasından kaynaklanmaktadır. Bu zafiyet 1.5.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- signalk signal_k_server1.5.0 ya da sonraki bir sürüm
- @signalk/set-system-time1.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| signalk signal_k_server | v < 1.5.0 | 1.5.0 |
| @signalk/set-system-timenpm | v < 1.5.0 | 1.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.