p PatchFirst

CVE-2026-23515

CVE-2026-23515 · RCE - Command Injection in Signal K set-system-time plugin

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Signal K Server is a server application that runs on a central hub in a boat. Prior to 1.5.0, a command injection vulnerability allows authenticated users with write permissions to execute arbitrary shell commands on the Signal K server when the set-system-time plugin is enabled. Unauthenticated users can also exploit this vulnerability if security is disabled on the Signal K server. This occurs due to unsafe construction of shell commands when processing navigation.datetime values received via WebSocket delta messages. This vulnerability is fixed in 1.5.0.

CVSS 10.0 · Критический · EPSS 4,5% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • signalk-server

    Версии
    • < 1.5.0: Затронуто

    Нет опубликованного исправления

  • @signalk/set-system-time npm

    Затронутые диапазоны версий
    • SEMVER: < 1.5.0

    Обновитесь до 1.5.0

Первоисточники

Проверьте свой сервер →