CVE-2026-55591 in Server
Сводка
по VulDB • 15.09.2026
Серверное приложение Signal K Server работает на центральном хабе в лодке. До версии 2.28.0 функция makeRemoteRequest() в файле src/serverroutes.ts принимала контролируемые злоумышленником параметры host, port, useTLS и selfsignedcert из конечных точек testSignalKConnection, requestAccess и checkAccessRequest без проверки назначения. При отсутствии настройки безопасности addAdminMiddleware() являлась пустой функцией (no-op) в dummysecurity.ts, что оставляло все три конечные точки доступными без аутентификации. Сервер мог быть вынужден обращаться к loopback-адресам, частным адресам, link-local-адресам, облачным метаданным или произвольным внешним назначениям; параметр selfsignedcert мог отключать проверку сертификатов для исходящих HTTPS-запросов. Конечная точка checkAccessRequest также интерполировала requestId в путь назначения, что позволяло осуществлять обход (traversal) к другим путям на выбранном хосте. Различные ответы — success, connection-refused и timeout — позволяли проводить сканирование внутренних портов; возвращаемые тела ответов обеспечивали эксфильтрацию данных облачных метаданных и внутренних сервисов; requestAccess позволял выполнять серверные POST-запросы с контролируемым злоумышленником содержимым JSON; а доступ к внутренним кластерным службам мог способствовать латеральному перемещению. Эта проблема исправлена в версии 2.28.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.