CVE-2025-68619 in Server
Résumé
par VulDB • 22/05/2026
Signal K Server est une application serveur qui s'exécute sur un hub central à bord d'un bateau. Les versions antérieures à la 2.19.0 de l'interface appstore permettent aux administrateurs d'installer des paquets npm via un point de terminaison REST API. Bien que le point de terminaison valide que le nom du paquet existe dans le registre npm en tant que plugin ou webapp connu, le paramètre de version accepte des spécificateurs de version npm arbitraires, y compris des URL. npm prend en charge l'installation de paquets à partir de dépôts git, de la syntaxe abrégée de GitHub et d'URL HTTP/HTTPS pointant vers des archives tar. Lors de l'installation d'un paquet, npm peut exécuter automatiquement tout script `postinstall` défini dans `package.json`, permettant ainsi l'exécution de code arbitraire. La vulnérabilité existe car la syntaxe des spécificateurs de version de npm est extrêmement flexible, et le code de SignalK transmet le paramètre de version directement à npm sans sanitisation. Un attaquant disposant d'un accès administrateur peut installer un paquet provenant d'une source contrôlée par l'attaquant contenant un script `postinstall` malveillant. La version 2.19.0 contient un correctif pour ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.