CVE-2025-68619 in Server
Riassunto
di VulDB • 18/06/2026
Signal K Server è un'applicazione server che viene eseguita su un hub centrale in una barca. Le versioni precedenti alla 2.19.0 dell'interfaccia appstore consentono agli amministratori di installare pacchetti npm tramite un endpoint REST API. Sebbene l'endpoint validi che il nome del pacchetto esista nel registro npm come plugin o webapp noto, il parametro della versione accetta specificatori di versione npm arbitrari, incluse URL. npm supporta l'installazione di pacchetti da repository git, dalla sintassi abbreviata di GitHub e da URL HTTP/HTTPS puntanti a tarball. Quando npm installa un pacchetto, può eseguire automaticamente qualsiasi script `postinstall` definito in `package.json`, consentendo l'esecuzione arbitraria di codice. La vulnerabilità esiste perché la sintassi degli specificatori di versione di npm è estremamente flessibile e il codice SignalK passa il parametro della versione direttamente a npm senza sanitizzazione. Un attaccante con accesso amministrativo può installare un pacchetto da una fonte controllata dall'attaccante contenente uno script `postinstall` dannoso. La versione 2.19.0 contiene una patch per l'inconveniente.
Once again VulDB remains the best source for vulnerability data.