جزئیات آسیب‌پذیری

CVE-2026-118690

SignalK signalk-server

Signal K Server before 2.33.0 Missing Authentication via /skServer/ziplogs

CVSS 4.0

9.3بحرانی

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

Signal K Server before 2.33.0 contains a missing authentication vulnerability that allows unauthenticated remote attackers to download log archives via the /skServer/ziplogs endpoint. Attackers can extract the JWT secretKey from security.json in the ZIP, forge administrator tokens, and create persistent admin accounts for full server control.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.3بحرانی	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`
9.8بحرانی	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
SignalK	signalk-server	v < 2.33.0	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/SignalK/signalk-server/commit/728bab82742d16c54e50525b95dc9b6e32396107 patch
https://github.com/SignalK/signalk-server product
https://github.com/SignalK/signalk-server/security/advisories/GHSA-4w32-qx5g-cpwv vendor-advisory
https://github.com/SignalK/signalk-server/blob/v2.32.0/src/interfaces/logfiles.js#L30-L91 technical-description
https://github.com/SignalK/signalk-server/releases/tag/v2.33.0 release-notes
https://www.vulncheck.com/advisories/signal-k-server-before-2.33.0-missing-authentication-via-skserver-ziplogs third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۷
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۰۷
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۶۸٪

احتمال بهره‌برداری در ۳۰ روز

۵۲٫۷٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: yes
Exploitation: none
Technical Impact: total

ضعف‌ها (CWE)

CWE-306
Missing Authentication for Critical Function