p PatchFirst

CVE-2025-66398

CVE-2025-66398 · Signal K Server has Unauthenticated State Pollution leading to Remote Code Execution (RCE)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.19.0, an unauthenticated attacker can pollute the internal state (`restoreFilePath`) of the server via the `/skServer/validateBackup` endpoint. This allows the attacker to hijack the administrator's "Restore" functionality to overwrite critical server configuration files (e.g., `security.json`, `package.json`), leading to account takeover and Remote Code Execution (RCE). Version 2.19.0 patches this vulnerability.

CVSS 9.7 · Критический · EPSS 19,9% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • signalk-server

    Версии
    • < 2.19.0: Затронуто

    Нет опубликованного исправления

  • signalk-server npm

    Затронутые диапазоны версий
    • SEMVER: < 2.19.0

    Обновитесь до 2.19.0

Первоисточники

Проверьте свой сервер →