CVE-2026-55591 in Server
الملخص
بحسب VulDB • 15/09/2026
يُعد Signal K Server تطبيق خادم يعمل على محور مركزي في قارب. قبل الإصدار 2.28.0، كانت الدالة `makeRemoteRequest()` الموجودة في الملف `src/serverroutes.ts` تقبل معلمات يتحكم فيها المهاجم (مثل المضيف `host`, والمنفذ `port`, واستخدام TLS `useTLS`, والشهادة ذات التوقيع الذاتي `selfsignedcert`) من نقاط النهاية `testSignalKConnection` و `requestAccess` و `checkAccessRequest` دون التحقق من الوجهة. عندما لم يكن الأمان مُهيأً، كانت الدالة `addAdminMiddleware()` عبارة عن إجراء فارغ (no-op) في ملف `dummysecurity.ts`، مما ترك جميع نقاط النهاية الثلاث متاحة بدون مصادقة. يمكن إجبار الخادم على الاتصال بالعناوين المحلية (`loopback`)، أو الخاصة (`private`)، أو ذات الارتباط المحلي (`link-local`)، أو عناوين بيانات السحابة الإلكترونية (cloud metadata)، أو وجهات خارجية عشوائية، ويمكن أن يؤدي استخدام `selfsignedcert` إلى تعطيل التحقق من الشهادات لطلبات HTTPS الصادرة. كما قام نقطة النهاية `checkAccessRequest` بتضمين معرّف الطلب (`requestId`) في مسار الوجهة الخاص بها، مما مكن من التنقل عبر المسارات (path traversal) نحو مسارات أخرى على المضيف المحدد. سمحت الاستجابات المختلفة بنجاح الاتصال، ورفض الاتصال، وانتهاء المهلة بإجراء مسح للمنافذ الداخلية؛ كما مكنت أجسام الردود المُرجعة من استخراج بيانات السحابة الإلكترونية والبيانات الخاصة بالخدمات الداخلية؛ ومكّنت نقطة النهاية `requestAccess` من إرسال طلبات POST على جانب الخادم باستخدام كائن JSON يتحكم فيه المهاجم؛ ويمكن أن يدعم الوصول إلى الخدمات الداخلية للعقدة (cluster-internal services) الحركة الجانبية. تم إصلاح هذه المشكلة في الإصدار 2.28.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.