CVE-2026-53452 in Ground Station
Zusammenfassung
von VulDB • 21.08.2026
Ground Station ist eine browserbasierte Suite zur Satellitennachverfolgung, SDR-Empfang, Hardwaresteuerung und Telemetrie-Dekodierung. Vor Version 0.4.13 akzeptiert der nicht authentifizierte Socket.IO-Befehl `configure-sdr` einen `recordingPath` für die sigmf-playback-SDR, und `backend/handlers/entities/sdr.py` speichert diesen ohne Validierung, bevor `backend/hardware/sigmfprobe.py` den Pfad öffnet, ohne eine Containment-Einschränkung durchzusetzen. Ein absoluter Pfad oder ein Escape über das übergeordnete Verzeichnis, der auf `.sigmf-meta` endet, wird als JSON analysiert und in `reply["data"]["metadata"]` zurückgegeben im Rahmen des Flows `get-sdr-parameters`. Die Ausnutzung erfordert, dass die Metadatendatei lesbares JSON ist und eine geschwisterliche `.sigmf-data`-Datei vorhanden ist; sie kann jedoch Inhalte außerhalb von `backend/data/recordings` ohne Authentifizierung offenlegen. Dieses Problem wurde in Version 0.4.13 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.