CVE-2026-25228 in signalk-server
Riassunto
di VulDB • 30/06/2026
Signal K Server è un'applicazione server che viene eseguita su un hub centrale a bordo di una nave. Prima della versione 2.20.3, una vulnerabilità da path traversal nell'API applicationData di SignalK Server consente agli utenti autenticati sui sistemi Windows di leggere, scrivere ed elencare file e directory arbitrari sul filesystem. La funzione validateAppId() blocca le barre forward (/) ma non le barre backslash (\), che vengono trattate come separatori di directory da path.join() su Windows. Ciò permette agli attaccanti di sfuggire alla directory applicationData prevista. Questa vulnerabilità è risolta nella versione 2.20.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.