PT-2026-29796 · Unknown · Signal K Server

Vashuvats · CVE-2026-33950 · Publicado 2026-04-02 · Atualizado 2026-04-04

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Name of the Vulnerable Software and Affected Versions Signal K Server versões anteriores a 2.24.0-beta.4

Description Signal K Server, um aplicativo de servidor usado em sistemas de navegação marítima, contém uma falha de escalação de privilégios. Um invasor não autenticado pode explorar isso para obter acesso total de Administrador ao servidor. Isso é alcançado por meio de Injeção de Função de Administrador via o endpoint da API '/enableSecurity'. A exploração bem-sucedida permite a modificação de dados de roteamento de embarcações confidenciais, a alteração de configurações do servidor e o acesso a endpoints restritos.

Recommendations Atualize o Signal K Server para a versão 2.24.0-beta.4 ou posterior.

Exploit

Correção

LPE

Authentication Bypass Using an Alternate Path or Channel

Improper Authorization

Missing Authorization

Enumeração de Fraquezas

CWE-288

CWE-285

CWE-862

Identificadores relacionados

CVE-2026-33950

GHSA-X8HC-FQV3-7GWF

Produtos afetados

Signal K Server

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/33xxx/CVE-2026-33950.json · Exploit
• https://github.com/SignalK/signalk-server/security/advisories/GHSA-x8hc-fqv3-7gwf · Aviso do Fabricante
• https://github.com/SignalK/signalk-server/releases/tag/v2.24.0-beta.4 · Nota
• https://github.com/SignalK/signalk-server · Nota
• https://twitter.com/pulsepatchio/status/2040440777189245020 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x8hc-fqv3-7gwf · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2039976200542781456 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-33950 · Aviso do Fabricante
• https://twitter.com/0dayPublishing/status/2039740748292051204 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2039760508153221216 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-33950 · Nota de Segurança