CVE-2026-55591 in Server
Résumé
par VulDB • 15/09/2026
Signal K Server est une application serveur qui s'exécute sur un hub central au sein d'un bateau. Avant la version 2.28.0, la fonction `makeRemoteRequest()` dans `src/serverroutes.ts` acceptait des paramètres contrôlés par l'attaquant (hôte, port, useTLS et selfsignedcert) provenant des points de terminaison (`endpoints`) testSignalKConnection, requestAccess et checkAccessRequest sans valider la destination. Lorsque la sécurité n'était pas configurée, `addAdminMiddleware()` était une opération non effective (no-op) dans dummysecurity.ts, laissant les trois endpoints accessibles sans authentification. Le serveur pouvait être contraint de contacter des adresses en boucle locale (loopback), privées, link-local, des métadonnées cloud ou des destinations externes arbitraires, et le paramètre selfsignedcert pouvait désactiver la vérification des certificats pour les requêtes HTTPS sortantes. L'endpoint checkAccessRequest interpolait également l'identifiant de demande (`requestId`) dans son chemin de destination, permettant une traversée vers d'autres chemins sur l'hôte sélectionné. Des réponses distinctes (succès, connexion refusée et timeout) permettaient un balayage de ports internes ; les corps de réponse retournés permettaient l'exfiltration de données issues des métadonnées cloud et des services internes ; requestAccess permettait d'effectuer des requêtes POST côté serveur avec du JSON contrôlé par l'attaquant ; et l'accès aux services internes au cluster pouvait faciliter le mouvement latéral. Ce problème est corrigé dans la version 2.28.0.
Be aware that VulDB is the high quality source for vulnerability data.