Më 30 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-4xm8-rg9h-jhq2 për një dobësi me rrezikshmëri kritike (CVSS 9.8) në paketën signalk-server të ekosistemit npm. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- signalk-server (npm) — versionet e prekura:
>= 2.0.0, < 2.34.0; versioni me rregullim:2.34.0 - @signalk/resources-provider (npm) — versionet e prekura:
>= 1.0.0, < 1.5.3; versioni me rregullim:1.5.3
Detaje
- Rrezikshmëria: Kritike (CVSS 9.8)
- CWE: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal'))
- Identifikuesit: GHSA-4xm8-rg9h-jhq2
Përmbledhja zyrtare
Path traversal në API-në e burimeve të Signal K mund të zbulojë sekretin e nënshkrimit JWT dhe të mundësojë ekzekutimin e kodit në distancë
Një dobësi path traversal në API-të resources dhe applicationData të Signal K u lejon përdoruesve të paautentikuar ose me privilegje të kufizuara të lexojnë, shkruajnë dhe fshijnë skedarë jashtë direktorisë bazë të ruajtjes. Kjo mundëson qasje në skedarë përtej kufijve të parashikuar të ruajtjes.
Leximi i skedarit
Çfarë duhet të bëni
Nëse projektet tuaja përdorin signalk-server, përditësojeni sa më shpejt në versionin 2.34.0 ose më të ri.
