CVE-2026-33951— Signal K Server 访问控制错误漏洞
Possible ATT&CK Techniques 3AI
T1078.001 · Default Accounts T1190 · Exploit Public-Facing Application T1546.015 · Component Object Model Hijacking新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-33951の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
signalk-server: Unauthenticated Source Priorities Manipulation
ソース: NVD (National Vulnerability Database)
脆弱性説明
Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.24.0-beta.1, the SignalK Server exposes an unauthenticated HTTP endpoint that allows remote attackers to modify navigation data source priorities. This endpoint, accessible via PUT /signalk/v1/api/sourcePriorities, does not enforce authentication or authorization checks and directly assigns user-controlled input to the server configuration. As a result, attackers can influence which GPS, AIS, or other sensor data sources are trusted by the system. The changes are immediately applied and persisted to disk, allowing the manipulation to survive server restarts. This issue has been patched in version 2.24.0-beta.1.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
访问控制不恰当
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
Signal K Server 访问控制错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Signal K Server是Signal K开源的一个船用中央服务器。 Signal K Server 2.24.0-beta.1之前版本存在访问控制错误漏洞，该漏洞源于未经验证的端点允许修改数据源优先级，可能导致导航数据被操纵。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| SignalK | signalk-server | < 2.24.0-beta.1 | - |
II. CVE-2026-33951の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-33951のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-33951 厂商安全公告 (1)
Same Patch Batch · SignalK · 2026-04-02 · 4 CVEs total
| CVE-2026-33950 | 9.4 CRITICAL | signalk-server: Privilege Escalation by Admin Role Injection via /enableSecurity |
| CVE-2026-34083 | 6.1 MEDIUM | signalk-server: OAuth Authorization Code Theft via Unvalidated Host Header in OIDC Flow |
| CVE-2026-35038 | signalk-server: Arbitrary Prototype Read via `from` Field Bypass |
IV. 関連脆弱性
同じ製品: signalk-server
- CVE-2026-41893
Signal K Server's WebSocket Login Endpoint Lacks Rate Limiti - CVE-2026-39320
Signal K Server has an Unauthenticated Regular Expression De - CVE-2026-35038
signalk-server: Arbitrary Prototype Read via `from` Field By - CVE-2026-34083
signalk-server: OAuth Authorization Code Theft via Unvalidat - CVE-2026-33950
signalk-server: Privilege Escalation by Admin Role Injection
同じベンダー: SignalK
- CVE-2026-41893
Signal K Server's WebSocket Login Endpoint Lacks Rate Limiti - CVE-2026-39320
Signal K Server has an Unauthenticated Regular Expression De - CVE-2026-35038
signalk-server: Arbitrary Prototype Read via `from` Field By - CVE-2026-34083
signalk-server: OAuth Authorization Code Theft via Unvalidat - CVE-2026-33950
signalk-server: Privilege Escalation by Admin Role Injection
同じ弱点: CWE-284
- CVE-2026-54526
Argo Workflows: Incomplete fix for CVE-2026-31892: ArtifactG - CVE-2026-46353
BigBlueButton API checksum bypass via presentationUploadExte - CVE-2026-55548
Yamcs: Insecure Direct Object Reference (IDOR) in PacketsApi - CVE-2026-35148
HCL DFXServer is affected by a Missing Access Control vulner - CVE-2026-1609
Org.keycloak/keycloak-quarkus-server: keycloak: unauthorized
V. CVE-2026-33951へのコメント
まだコメントはありません