CVE-2025-69203
Signal K Server Vulnerable to Access Request Spoofing
Description
Signal K Server is a server application that runs on a central hub in a boat. Versions prior to 2.19.0 of the access request system have two related features that when combined by themselves and with an information disclosure vulnerability enable convincing social engineering attacks against administrators. When a device creates an access request, it specifies three fields: `clientId`, `description`, and `permissions`. The SignalK admin UI displays the `description` field prominently to the administrator when showing pending requests, but the actual `permissions` field (which determines the access level granted) is less visible or displayed separately. This allows an attacker to request `admin` permissions while providing a description that suggests readonly access. The access request handler trusts the `X-Forwarded-For` HTTP header without validation to determine the client's IP address. This header is intended to preserve the original client IP when requests pass through reverse proxies, but when trusted unconditionally, it allows attackers to spoof their IP address. The spoofed IP is displayed to administrators in the access request approval interface, potentially making malicious requests appear to originate from trusted internal network addresses. Since device/source names can be enumerated via the information disclosure vulnerability, an attacker can impersonate a legitimate device or source, craft a convincing description, spoof a trusted internal IP address, and request elevated permissions, creating a highly convincing social engineering scenario that increases the likelihood of administrator approval. Users should upgrade to version 2.19.0 to fix this issue.
INFO
Published Date :
Jan. 1, 2026, 7:15 p.m.
Last Modified :
Oct. 7, 2026, 11:10 a.m.
Remotely Exploit :
Yes !
Source :
[email protected]
CVSS Scores
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | MEDIUM | [email protected] | ||||
| CVSS 3.1 | HIGH | [email protected] |
Solution
- Upgrade Signal K Server to version 2.19.0.
- Apply security patches from vendor.
- Validate all incoming IP address headers.
References to Advisories, Solutions, and Tools
Here, you will find a curated list of external links that provide in-depth
information, practical solutions, and valuable tools related to
CVE-2025-69203.
| URL | Resource |
|---|---|
| https://github.com/SignalK/signalk-server/releases/tag/v2.19.0 | Release Notes |
| https://github.com/SignalK/signalk-server/security/advisories/GHSA-vfrf-vcj7-wvr8 | Exploit Vendor Advisory |
CWE - Common Weakness Enumeration
While CVE identifies
specific instances of vulnerabilities, CWE categorizes the common flaws or
weaknesses that can lead to vulnerabilities. CVE-2025-69203 is
associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification
(CAPEC)
stores attack patterns, which are descriptions of the common attributes and
approaches employed by adversaries to exploit the CVE-2025-69203
weaknesses.
We scan GitHub repositories to detect new proof-of-concept exploits. Following list is a collection of public exploits and proof-of-concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mention
CVE-2025-69203 vulnerability anywhere in the article.
The following table lists the changes that have been made to the
CVE-2025-69203 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
CVE Translated by [email protected]
Oct. 07, 2026
Action Type Old Value New Value Changed Translation Title: signalk-server de SignalK, Description: Signal K Server es una aplicación de servidor que se ejecuta en un concentrador central en un barco. Las versiones anteriores a la 2.19.0 del sistema de solicitud de acceso tienen dos características relacionadas que, cuando se combinan por sí mismas y con una vulnerabilidad de revelación de información, permiten ataques convincentes de ingeniería social contra los administradores. Cuando un dispositivo crea una solicitud de acceso, especifica tres campos: 'clientId', 'description' y 'permissions'. La interfaz de usuario de administración de SignalK muestra el campo 'description' de forma destacada al administrador al mostrar las solicitudes pendientes, pero el campo real 'permissions' (que determina el nivel de acceso concedido) es menos visible o se muestra por separado. Esto permite a un atacante solicitar permisos de 'admin' mientras proporciona una descripción que sugiere acceso de solo lectura. El manejador de solicitudes de acceso confía en el encabezado HTTP 'X-Forwarded-For' sin validación para determinar la dirección IP del cliente. Este encabezado está destinado a preservar la IP original del cliente cuando las solicitudes pasan a través de proxies inversos, pero cuando se confía incondicionalmente en él, permite a los atacantes falsificar su dirección IP. La IP falsificada se muestra a los administradores en la interfaz de aprobación de solicitudes de acceso, lo que potencialmente hace que las solicitudes maliciosas parezcan originarse de direcciones de red internas de confianza. Dado que los nombres de dispositivos/fuentes pueden enumerarse a través de la vulnerabilidad de revelación de información, un atacante puede suplantar un dispositivo o fuente legítima, elaborar una descripción convincente, falsificar una dirección IP interna de confianza y solicitar permisos elevados, creando un escenario de ingeniería social altamente convincente que aumenta la probabilidad de aprobación del administrador. Los usuarios deben actualizar a la versión 2.19.0 para solucionar este problema. Title: signalk-server de SignalK, Description: Signal K Server es una aplicación de servidor que se ejecuta en un concentrador central en un barco. Las versiones anteriores a la 2.19.0 del sistema de solicitud de acceso tienen dos características relacionadas que, cuando se combinan por sí mismas y con una vulnerabilidad de revelación de información, permiten ataques convincentes de ingeniería social contra los administradores. Cuando un dispositivo crea una solicitud de acceso, especifica tres campos: 'clientId', 'description' y 'permissions'. La interfaz de usuario de administración de SignalK muestra el campo 'description' de forma destacada al administrador al mostrar las solicitudes pendientes, pero el campo real 'permissions' (que determina el nivel de acceso concedido) es menos visible o se muestra por separado. Esto permite a un atacante solicitar permisos de 'admin' mientras proporciona una descripción que sugiere acceso de solo lectura. El manejador de solicitudes de acceso confía en el encabezado HTTP 'X-Forwarded-For' sin validación para determinar la dirección IP del cliente. Este encabezado está destinado a preservar la IP original del cliente cuando las solicitudes pasan a través de proxies inversos, pero cuando se confía incondicionalmente en él, permite a los atacantes falsificar su dirección IP. La IP falsificada se muestra a los administradores en la interfaz de aprobación de solicitudes de acceso, lo que potencialmente hace que las solicitudes maliciosas parezcan originarse de direcciones de red internas de confianza. Dado que los nombres de dispositivos/fuentes pueden enumerarse a través de la vulnerabilidad de revelación de información, un atacante puede suplantar un dispositivo o fuente legítima, elaborar una descripción convincente, falsificar una dirección IP interna de confianza y solicitar permisos elevados, creando un escenario de ingeniería social altamente convincente que aumenta la probabilidad de aprobación del administrador. Los usuarios deben actualizar a la versión 2.19.0 para solucionar este problema. -
CVE Translated by [email protected]
Oct. 01, 2026
Action Type Old Value New Value Added Translation Title: signalk-server de SignalK, Description: Signal K Server es una aplicación de servidor que se ejecuta en un concentrador central en un barco. Las versiones anteriores a la 2.19.0 del sistema de solicitud de acceso tienen dos características relacionadas que, cuando se combinan por sí mismas y con una vulnerabilidad de revelación de información, permiten ataques convincentes de ingeniería social contra los administradores. Cuando un dispositivo crea una solicitud de acceso, especifica tres campos: 'clientId', 'description' y 'permissions'. La interfaz de usuario de administración de SignalK muestra el campo 'description' de forma destacada al administrador al mostrar las solicitudes pendientes, pero el campo real 'permissions' (que determina el nivel de acceso concedido) es menos visible o se muestra por separado. Esto permite a un atacante solicitar permisos de 'admin' mientras proporciona una descripción que sugiere acceso de solo lectura. El manejador de solicitudes de acceso confía en el encabezado HTTP 'X-Forwarded-For' sin validación para determinar la dirección IP del cliente. Este encabezado está destinado a preservar la IP original del cliente cuando las solicitudes pasan a través de proxies inversos, pero cuando se confía incondicionalmente en él, permite a los atacantes falsificar su dirección IP. La IP falsificada se muestra a los administradores en la interfaz de aprobación de solicitudes de acceso, lo que potencialmente hace que las solicitudes maliciosas parezcan originarse de direcciones de red internas de confianza. Dado que los nombres de dispositivos/fuentes pueden enumerarse a través de la vulnerabilidad de revelación de información, un atacante puede suplantar un dispositivo o fuente legítima, elaborar una descripción convincente, falsificar una dirección IP interna de confianza y solicitar permisos elevados, creando un escenario de ingeniería social altamente convincente que aumenta la probabilidad de aprobación del administrador. Los usuarios deben actualizar a la versión 2.19.0 para solucionar este problema. -
CVE Modified by [email protected]
Jun. 17, 2026
Action Type Old Value New Value Added Affected [{'vendor': 'SignalK', 'product': 'signalk-server', 'versions': [{'status': 'affected', 'version': '< 2.19.0'}]}] -
CVE Modified by 134c704f-9b21-4f2e-91b3-4a467353bcc0
Jun. 17, 2026
Action Type Old Value New Value Added SSVC {'id': 'CVE-2025-69203', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'poc'}, {'automatable': 'yes'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-01-02T19:02:06.451579Z'} -
Initial Analysis by [email protected]
Jan. 06, 2026
Action Type Old Value New Value Added CVSS V3.1 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H Added CPE Configuration OR *cpe:2.3:a:signalk:signal_k_server:*:*:*:*:*:*:*:* versions up to (excluding) 2.19.0 *cpe:2.3:a:signalk:signal_k_server:2.19.0:beta1:*:*:*:*:*:* *cpe:2.3:a:signalk:signal_k_server:2.19.0:beta2:*:*:*:*:*:* *cpe:2.3:a:signalk:signal_k_server:2.19.0:beta3:*:*:*:*:*:* *cpe:2.3:a:signalk:signal_k_server:2.19.0:beta4:*:*:*:*:*:* Added Reference Type GitHub, Inc.: https://github.com/SignalK/signalk-server/releases/tag/v2.19.0 Types: Release Notes Added Reference Type GitHub, Inc.: https://github.com/SignalK/signalk-server/security/advisories/GHSA-vfrf-vcj7-wvr8 Types: Exploit, Vendor Advisory -
New CVE Received by [email protected]
Jan. 01, 2026
Action Type Old Value New Value Added Description Signal K Server is a server application that runs on a central hub in a boat. Versions prior to 2.19.0 of the access request system have two related features that when combined by themselves and with an information disclosure vulnerability enable convincing social engineering attacks against administrators. When a device creates an access request, it specifies three fields: `clientId`, `description`, and `permissions`. The SignalK admin UI displays the `description` field prominently to the administrator when showing pending requests, but the actual `permissions` field (which determines the access level granted) is less visible or displayed separately. This allows an attacker to request `admin` permissions while providing a description that suggests readonly access. The access request handler trusts the `X-Forwarded-For` HTTP header without validation to determine the client's IP address. This header is intended to preserve the original client IP when requests pass through reverse proxies, but when trusted unconditionally, it allows attackers to spoof their IP address. The spoofed IP is displayed to administrators in the access request approval interface, potentially making malicious requests appear to originate from trusted internal network addresses. Since device/source names can be enumerated via the information disclosure vulnerability, an attacker can impersonate a legitimate device or source, craft a convincing description, spoof a trusted internal IP address, and request elevated permissions, creating a highly convincing social engineering scenario that increases the likelihood of administrator approval. Users should upgrade to version 2.19.0 to fix this issue. Added CVSS V3.1 AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L Added CWE CWE-290 Added Reference https://github.com/SignalK/signalk-server/releases/tag/v2.19.0 Added Reference https://github.com/SignalK/signalk-server/security/advisories/GHSA-vfrf-vcj7-wvr8