FICHE CVE

CVE-2025-66398

Publiée le 2026-01-01 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les installations de Signal K Server antérieures à la version 2.19.0 sont vulnérables à une faille de pollution d'état. Un attaquant non authentifié disposant d'un accès réseau peut écraser des fichiers de configuration critiques en incitant un administrateur à déclencher la fonction « Restore ». Cela peut entraîner une prise de contrôle totale du compte et l'exécution de code à distance sur le serveur.

CVSS 3.19.6 CRITIQUE

Type de faiblesse

Injection de commandes système · CWE-78 CWE-913

Publiée2026-01-01

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.19.0, an unauthenticated attacker can pollute the internal state (`restoreFilePath`) of the server via the `/skServer/validateBackup` endpoint. This allows the attacker to hijack the administrator's "Restore" functionality to overwrite critical server configuration files (e.g., `security.json`, `package.json`), leading to account takeover and Remote Code Execution (RCE). Version 2.19.0 patches this vulnerability.