GHSA-4XM8-RG9H-JHQ2
Signal K resources API path traversal can disclose the JWT signing secret and enable remote code execution
CVSS 3.1Critical
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновить пакеты signalk-server и @signalk/resources-provider до версии 1.5.3 или новее.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Уязвимость обхода каталога (Path Traversal) в API Signal K Server приводит к раскрытию секретного ключа подписи JWT. Скомпрометированный ключ позволяет подделывать токены и выполнять произвольный код на сервере (RCE).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Эндпоинты ресурсов и applicationData в пакетах @signalk/resources-provider и signalk-server недостаточно фильтруют последовательности обхода путей при операциях с файловой системой. Это позволяет читать и записывать файлы за пределами разрешенной директории, включая конфигурацию с секретным ключом JWT.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неаутентифицированный атакующий может извлечь JWT secret, сформировать административный токен с максимальными привилегиями и добиться RCE на целевом сервере.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/SignalK/signalk-server/security/advisories/GHSA-4xm8-rg9h-jhq2
- github.comhttps://github.com/SignalK/signalk-server/commit/83689f040d7e90280dddc643f44f3e4ce348fbb1
- github.comhttps://github.com/SignalK/signalk-server
- github.comhttps://github.com/SignalK/signalk-server/releases/tag/v2.34.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-4XM8-RG9H-JHQ2: Signal K resources API path traversal can disclose the JWT signing secret and enable remote code execution. URL: https://cve.futuretools.ru/cve/GHSA-4XM8-RG9H-JHQ2
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_4xm8_rg9h_jhq2,
title = {{GHSA-4XM8-RG9H-JHQ2: Signal K resources API path traversal can disclose the JWT signing secret and enable remote code execution}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-4XM8-RG9H-JHQ2}},
note = {Оперативный инженерный анализ киберугроз}
}