CVE-2026-41893
Açıklama
Signal K Server, bir teknedeki merkezi bir merkezde çalışan bir sunucu uygulamasıdır. Versiyon 2.25.0 öncesinde, HTTP giriş uç noktaları (POST /login ve POST /signalk/v1/auth/login), express-rate-limit ile korunmaktadır (varsayılan: 10 dakikalık pencere başına 100 deneme, HTTP_RATE_LIMITS üzerinden yapılandırılabilir). Kurulmuş bir WebSocket bağlantısı üzerinden {login: {username, password}} mesajları gönderen WebSocket giriş yolu, herhangi bir hız sınırlaması olmaksızın doğrudan app.securityStrategy.login() fonksiyonunu çağırır. Bir saldırgan, bir WebSocket bağlantısı açarak ve bcrypt'in izin verdiği hızda (~10 tuzlama turu ile saniyede ~20 deneme) sınırsız şifre tahmini yaparak HTTP hız sınırlamasını tamamen atlayabilir. Bu sorun versiyon 2.25.0 ile düzeltilmiştir.
Nasıl düzeltilir
- signalk signal_k_server2.25.0 ya da sonraki bir sürüm
- signalk-server2.25.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| signalk signal_k_server | v < 2.25.0 | 2.25.0 |
| signalk-servernpm | v < 2.25.0 | 2.25.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.