JVNDB-2026-001030

 Signal KのSignal K Serverにおけるコードインジェクションの脆弱性

Signal K Serverは、船舶の中央ハブで動作するサーバーアプリケーションです。2.19.0以前のアプリストアインターフェースでは、管理者がREST APIエンドポイント経由でnpmパッケージをインストールできます。このエンドポイントはパッケージ名がnpmレジストリで既知のプラグインまたはウェブアプリであることを検証しますが、バージョンパラメータにはURLを含む任意のnpmバージョン指定子を指定できてしまいます。そのため、npmはGitリポジトリやGitHubの省略記法、tarballファイルへのHTTP/HTTPS URLからもパッケージをインストール可能です。また、npmがパッケージをインストールする際には、`package.json`に定義された`postinstall`スクリプトが自動で実行され、任意のコードが実行されるおそれがあります。この脆弱性の原因は、npmのバージョン指定子構文が非常に柔軟であることと、Signal Kのコードがバージョンパラメータを無加工でnpmに渡していることです。管理者権限を持つ攻撃者は、攻撃者が管理するソースから悪意ある`postinstall`スクリプトを含むパッケージをインストールすることができます。バージョン2.19.0でこの問題へのパッチが提供されています。

Signal K

• Signal K Server 2.19.0 未満
• Signal K Server 2.19.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Remote Code Execution via Malicious npm install reference  Advisory  SignalK/signalk-server  GitHub

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2025-68619

1. National Vulnerability Database (NVD) : CVE-2025-68619
2. 関連文書 : Release v2.19.0  SignalK/signalk-server  GitHub

• [2026年01月08日]
    掲載