PT-2026-29796 · Unknown · Signal K Server

Vashuvats · Publicado 2026-04-02 · Atualizado 2026-04-04 · CVE-2026-33950

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Name of the Vulnerable Software and Affected Versions Signal K Server versões anteriores a 2.24.0-beta.4

Description Signal K Server, um aplicativo de servidor usado em sistemas de navegação marítima, contém uma falha de escalação de privilégios. Um invasor não autenticado pode explorar isso para obter acesso total de Administrador ao servidor. Isso é alcançado por meio de Injeção de Função de Administrador via o endpoint da API '/enableSecurity'. A exploração bem-sucedida permite a modificação de dados de roteamento de embarcações confidenciais, a alteração de configurações do servidor e o acesso a endpoints restritos.

Recommendations Atualize o Signal K Server para a versão 2.24.0-beta.4 ou posterior.

Correção

LPE

Missing Authorization

Authentication Bypass Using an Alternate Path or Channel

Improper Authorization

Enumeração de Fraquezas

CWE-862

CWE-288

CWE-285

Identificadores relacionados

CVE-2026-33950

GHSA-X8HC-FQV3-7GWF

Produtos afetados

Signal K Server

Referências · 9

• https://github.com/SignalK/signalk-server · Nota
• https://github.com/SignalK/signalk-server/security/advisories/GHSA-x8hc-fqv3-7gwf · Aviso do Fabricante
• https://github.com/SignalK/signalk-server/releases/tag/v2.24.0-beta.4 · Nota
• https://twitter.com/0dayPublishing/status/2039740748292051204 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33950 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-x8hc-fqv3-7gwf · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2039760508153221216 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2040440777189245020 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2039976200542781456 · Publicação no Twitter