- Yama var
- Son 7 gün
- CWE-918
CVE-2026-115752
Signal K Server'da App Store simge alıcısında sunucu taraflı istek sahteciliği (SSRF) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Signal K Server 2.28.0-beta.2 ile 2.34.0 öncesi sürümlerde, App Store simge alıcısı mutlak signalk.appIcon URL'lerine güvendiği için sunucu taraflı istek sahteciliği (SSRF) açığı içermektedir. Signal K anahtar kelimelerini kullanarak npm paketleri yayınlayan saldırganlar, sunucuların loopback, gemi ağı veya bulut meta veri uç noktalarına istek göndermesini sağlayabilir. Bu istekler üzerinden görüntü türünde alınan yanıtlar depolanmakta ve yönetici arayüzü üzerinden geri sunulmaktadır.
Kaynaktaki açıklama (İngilizce)
Signal K Server from 2.28.0-beta.2 before 2.34.0 contains a server-side request forgery vulnerability in the App Store icon fetcher that trusts absolute signalk.appIcon URLs. Attackers publishing npm packages with Signal K keywords can make servers request loopback, vessel network, or cloud metadata endpoints, storing image-typed responses served back via the admin UI.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| signalk-server | ≥ 2.28.0-beta.2, < 2.34.0 | 2.34.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.