CVE-2026-33950
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Signal K Server przed wersją 2.24.0-beta.4 zawiera podatność eskalacji uprawnień przez wstrzyknięcie roli administratora w endpoint /enableSecurity. Nieuwierzytelniony atakujący może uzyskać pełny dostęp administracyjny.
Ocena ryzyka
Atakujący może modyfikować dane nawigacyjne, zmieniać konfigurację serwera i uzyskiwać dostęp do zastrzeżonych endpointów, co zagraża bezpieczeństwu jednostki pływającej.
Rekomendacja
Zaktualizuj Signal K Server do wersji 2.24.0-beta.4 lub nowszej. Ogranicz dostęp do endpointu /enableSecurity.
Oryginalny opis (angielski, źródło NVD)
Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.24.0-beta.4, there is a privilege escalation vulnerability by Admin Role Injection via /enableSecurity. An unauthenticated attacker can gain full Administrator access to the SignalK server at any time, allowing them to modify sensitive vessel routing data, alter server configurations, and access restricted endpoints. This issue has been patched in version 2.24.0-beta.4.