CVE-2026-41893 in signalk-server
요약
\~에 의해 VulDB • 2026. 05. 30.
Signal K Server는 보트의 중앙 허브에서 실행되는 서버 애플리케이션입니다. 버전 2.25.0 이전에는 HTTP 로그인 엔드포인트(POST /login 및 POST /signalk/v1/auth/login)가 express-rate-limit(기본값: 10분 윈도우당 100회 시도, HTTP_RATE_LIMITS를 통해 구성 가능)로 보호되었습니다. 그러나 WebSocket 로그인 경로(확립된 WebSocket 연결을 통해 {login: {username, password}} 메시지 전송)는 app.securityStrategy.login()을 직접 호출하며, 여기에 대한 속도 제한(rate limiting)이 적용되지 않습니다. 공격자는 WebSocket 연결을 열고 bcrypt가 허용하는 속도(~10 salt 라운드 기준 초당 약 20회 시도)로 무제한 비밀번호 추측을 시도함으로써 HTTP 속도 제한을 완전히 우회할 수 있습니다. 이 문제는 버전 2.25.0에서 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.