🇰🇷 한글 설명
Signal K Server 2.24.0 미만 버전에서 'from' 필드 우회를 통해 임의의 프로토타입을 읽을 수 있는 취약점이 존재합니다. 권한이 낮은 인증된 사용자가 프로토타입 경계 필터링을 우회하여 전역 프로토타입 객체의 내부 함수와 속성을 추출할 수 있으며, 이는 데이터 격리 원칙을 위반합니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 시스템의 보안 경계를 넘어 허용되지 않은 내부 정보와 기능을 몰래 읽어낼 수 있는 문제입니다. 이로 인해 원래는 볼 수 없어야 할 중요한 데이터가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Signal K Server is a server application that runs on a central hub in a boat. Prior to version 2.24.0, there is an arbitrary prototype read vulnerability via `from` field bypass. This vulnerability allows a low-privileged authenticated user to bypass prototype boundary filtering to extract internal functions and properties from the global prototype object this violates data isolation and lets a user read more than they should. This issue has been patched in version 2.24.0.
📍 영향받는 시스템
Signal K Server version < 2.24.0
⚔️ 공격 벡터
인증된 저권한 사용자가 'from' 필드 조작을 통한 프로토타입 경계 필터링 우회
🛡️ 대응 방법
Signal K Server를 최신 버전인 2.24.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.24.0 미만이면 취약한 상태이며, 2.24.0 이상이면 안전합니다.
npm list -g signal-k-server --depth=0 | grep -E 'signal-k-server@'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server