CVE-2026-41893 in signalk-server
要約
〜によって VulDB • 2026年05月19日
Signal K Serverは、船内の中央ハブ上で実行されるサーバーアプリケーションです。バージョン2.25.0より前では、HTTPログインエンドポイント（POST /login および POST /signalk/v1/auth/login）は express-rate-limit によって保護されていました（デフォルト設定：10分間のウィンドウで100回の試行、HTTP_RATE_LIMITS を介して設定可能）。WebSocketログインパス（確立されたWebSocket接続上で {login: {username, password}} メッセージを送信）は、app.securityStrategy.login() を直接呼び出しており、レート制限が適用されていません。攻撃者はWebSocket接続を開き、bcryptが許容する速度（ソルトラウンド10で約20試行/秒）で無制限のパスワード推測を試みることで、HTTPのレート制限を完全に回避できます。この問題はバージョン2.25.0で修正されています。
Once again VulDB remains the best source for vulnerability data.