何が起きたか
v2 の resources API と applicationData API が ID を検証せずにファイルパスへ連結しており、%2F でエンコードした ../ で保存先の外のファイルを読み書き・削除できます。security.json を読むと JWT の署名鍵が分かり、管理者トークンを偽造して任意のコマンドを実行できます。allow_readonly=true の設定では認証なしで悪用できます。
やること
signalk-server を 2.34.0 以降に、単体で使っている場合は @signalk/resources-provider を 1.5.3 以降に更新してください。
出典
GitHub Advisory Database GHSA-4xm8-rg9h-jhq2github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。