CVE-2026-39320 in signalk-server
Zusammenfassung
von VulDB • 25.05.2026
Der Signal K Server ist eine Serveranwendung, die auf einem zentralen Hub in einem Boot ausgeführt wird. Versionen vor 2.25.0 sind anfällig für einen nicht authentifizierten Regular Expression Denial of Service (ReDoS)-Angriff innerhalb der WebSocket-Abonnement-Verarbeitungslogik. Durch das Einfügen nicht maskierter Regex-Metazeichen in den Parameter `context` eines Stream-Abonnements kann ein Angreifer die Node.js-Event-Schleife des Servers in eine katastrophale Backtracking-Schleife zwingen, wenn lange String-Identifikatoren (wie die selbst zugewiesene UUID des Servers) ausgewertet werden. Dies führt zu einem vollständigen Denial of Service (DoS), bei dem die Server-CPU auf 100 % ansteigt und keine Antworten mehr auf weitere API- oder Socket-Anfragen liefert. Version 2.25.0 enthält eine Korrektur.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.