Signal K Server: SSRF через appIcon в App Store (CVE-2026-115752)
В Signal K Server с 2.28.0-beta.2 до 2.34.0 обнаружена уязвимость SSRF в загрузчике иконок App Store, принимающем абсолютные URL signalk.appIcon. Атакующий, публикующий npm-пакеты с ключевыми словами Signal K, может заставить сервер обращаться к loopback, судовой сети или метаданным облака. Критичность по CVSS — 2.3 (LOW).
Подробности
Уязвимость CVE-2026-115752 присутствует в Signal K Server начиная с версии 2.28.0-beta.2 и до 2.34.0. Причина — загрузчик иконок App Store доверяет абсолютным URL, указанным в поле signalk.appIcon, и не ограничивает адреса, к которым обращается сервер. Атакующий может опубликовать npm-пакет с ключевыми словами Signal K и задать в метаданных произвольный абсолютный URL иконки. Когда такой пакет появляется в App Store и сервер пытается получить иконку, он выполняет запрос к указанному адресу — например, к loopback-интерфейсу, хостам судовой сети или endpoint'ам метаданных облачных провайдеров. Ответы с изображениями сохраняются и затем отдаются обратно через административный интерфейс, что позволяет использовать сервер как прокси для доступа к внутренним ресурсам и извлечения данных. Уязвимости присвоен рейтинг CVSS 2.3 (LOW), однако в специфических сценариях развёртывания последствия могут быть чувствительнее оценки.Что делать
Основная рекомендация — обновиться до Signal K Server 2.34.0 или более поздней версии, где проблема устранена. Если немедленное обновление невозможно, следует ограничить сетевой доступ сервера: заблокировать исходящие запросы к loopback-адресам, диапазонам внутренней сети и endpoint'ам метаданных облака на уровне файрвола или сетевых политик. Дополнительно стоит контролировать состав App Store и внимательно относиться к сторонним npm-пакетам с ключевыми словами Signal K, устанавливаемым на сервер. Также рекомендуется ограничить доступ к административному интерфейсу доверенными сетями. Итог: SSRF в Signal K Server демонстрирует, как доверие к внешним метаданным пакетов превращает сервер в инструмент разведки внутренней сети. Низкий рейтинг CVSS не отменяет необходимости обновления — своевременная установка версии 2.34.0 закрывает вектор атаки полностью.Источник: CVE Project (cvelistV5)