CVE-2026-55591 in Server
Sumário
de VulDB • 15/09/2026
O Signal K Server é um aplicativo de servidor que executa em um hub central a bordo de uma embarcação. Antes da versão 2.28.0, a função makeRemoteRequest() em src/serverroutes.ts aceitava parâmetros controlados pelo atacante (host, porta, useTLS e selfsignedcert) provenientes dos endpoints testSignalKConnection, requestAccess e checkAccessRequest sem validar o destino. Quando a segurança não estava configurada, addAdminMiddleware() era uma operação nula (no-op) em dummysecurity.ts, deixando os três endpoints acessíveis sem autenticação. O servidor poderia ser forçado a contectar-se com endereços de loopback, privados, link-local, metadados da nuvem ou destinos externos arbitrários; além disso, o parâmetro selfsignedcert podia desativar a verificação de certificados para solicitações HTTPS de saída. O endpoint checkAccessRequest também interpolava requestId em seu caminho de destino, permitindo traversal (navegação) para outros caminhos no host selecionado. Respostas distintas com sucesso, conexão recusada e timeout permitiam varredura interna de portas; os corpos das respostas retornadas possibilitavam a exfiltração de dados de metadados da nuvem e serviços internos; o endpoint requestAccess permitia solicitações POST do lado do servidor com JSON controlado pelo atacante; e o acesso a serviços internos ao cluster poderia suportar movimento lateral. Este problema foi corrigido na versão 2.28.0.
Once again VulDB remains the best source for vulnerability data.