CVE-2026-33951
Açıklama
Signal K Server, bir teknedeki merkezi bir merkezde çalışan bir sunucu uygulamasıdır. Versiyon 2.24.0-beta.1 öncesinde, SignalK Server, uzaktaki saldırganların navigasyon veri kaynağı önceliklerini değiştirmesine izin veren kimlik doğrulaması gerektirmeyen bir HTTP uç noktası sunmaktadır. PUT /signalk/v1/api/sourcePriorities üzerinden erişilebilen bu uç nokta, kimlik doğrulama veya yetkilendirme kontrollerini zorunlu tutmamakta ve kullanıcı kontrollü girdiyi doğrudan sunucu yapılandırmasına atamaktadır. Sonuç olarak saldırganlar; sistem tarafından hangi GPS, AIS veya diğer sensör veri kaynaklarına güvenileceğini etkileyebilirler. Değişiklikler anında uygulanır ve diske kaydedilir, böylece yapılan manipülasyonun sunucu yeniden başlatmalarından sonra da kalıcı olması sağlanır. Bu sorun versiyon 2.24.0-beta.1 ile düzeltilmiştir.
Nasıl düzeltilir
- signalk signal_k_server2.24.0 ya da sonraki bir sürüm
- signalk-server2.24.0-beta.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| signalk signal_k_server | v < 2.24.0 | 2.24.0 |
| signalk-servernpm | v < 2.24.0-beta.1 | 2.24.0-beta.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.