PT-2026-33877 · Unknown · Signal K Server

Publicado 2026-04-21 · Atualizado 2026-04-28 · CVE-2026-39320

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions Signal K Server versões anteriores a 2.25.0

Description Existe um Denial of Service de Expressão Regular (ReDoS) não autenticado na lógica de manipulação de assinaturas WebSocket. Ao injetar metacaracteres de regex não escapados no parâmetro context de uma assinatura de fluxo, um invasor pode desencadear um backtracking catastrófico no loop de eventos do Node.js quando o servidor avalia identificadores de string longos. Isso ocorre porque as funções contextMatcher() e pathMatcher() em signalk-server/src/subscriptionmanager.ts não escapam metacaracteres perigosos como +, (, ), ?, [, e ]. Consequentemente, a CPU do servidor atinge 100%, tornando o sistema completamente responsivo a solicitações de API ou socket.

Recommendations Atualize o Signal K Server para a versão 2.25.0.

Exploit

Correção

Resource Exhaustion

DoS

Enumeração de Fraquezas

CWE-400

CWE-1333

Identificadores relacionados

CVE-2026-39320

GHSA-7GCJ-PHFF-2884

Produtos afetados

Signal K Server

Referências · 9

• 🔥 https://github.com/SignalK/signalk-server/security/advisories/GHSA-7gcj-phff-2884 · Exploit
• https://github.com/SignalK/signalk-server · Nota
• https://github.com/SignalK/signalk-server/commit/215d81eb700d5419c3396a0fbf23f2e246dfac2d · Correção
• https://github.com/SignalK/signalk-server/releases/tag/v2.25.0 · Nota
• https://github.com/SignalK/signalk-server/pull/2568 · Correção
• https://osv.dev/vulnerability/GHSA-7gcj-phff-2884 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39320 · Nota de Segurança
• https://twitter.com/_cvereports/status/2049063821755502823 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1ssjoms/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit