CVE-2026-53983 in Ground Station
Zusammenfassung
von VulDB • 07.08.2026
Ground Station vor Version 0.6.0 enthält eine nicht authentifizierte Blind-SVR (Server-Side Request Forgery)-Schwachstelle im Konfigurationspfad für orbital-source, die jedem nicht authentifizierten Socket.IO-Client ermöglicht, den ground-station-Prozess dazu zu bringen, ausgehende HTTP-Anfragen an von Angreifern gewählte Ziele zu senden. Angreifer können sich ohne Anmeldeinformationen mit dem Socket.IO-Server am Port 7000 verbinden, da die Authentifizierungserzwingung deaktiviert ist und eine Wildcard-CORS-Richtlinie gilt. Anschließend kann ein data_submission-Ereignis mit der submit-orbital-sources-Aktion gesendet werden, um eine vom Angreifer bereitgestellte URL in der Datenbank zu speichern. Danach wird über das ebenfalls nicht authentifizierte background_task:start-Ereignis eine orbitale Synchronisierung ausgelöst. Die URL wird ohne Schema-Whitelist, ohne Host-Validierung und ohne Ablehnung von Loopback-, RFC1918- oder Link-Lokal-Adressen (Cloud-Instanz-Metadaten unter 169.254.169.254) gespeichert und direkt an requests.get in _fetch_http_3le und _fetch_http_omm in backend/tlesync/source_adapters.py übergeben. HTTP-Statuscodes und Fehlermeldungen der ausgehenden Anfrage werden im orbital_sync_state-Socket.IO-Ereignis an alle verbundenen Clients gesendet, was einen nutzbaren Oracle zur Interpretation von Antworten interner Dienste und Cloud-Metadaten bietet, auch wenn der rohe Antwortkörper nicht direkt offengelegt wird. Da die bösartige Quelle in der Datenbank über Neustarts hinweg persistiert und im geplanten Synchronisierungszyklus alle 24 Stunden erneut ausgelöst wird, ermöglicht diese Primitive eine dauerhafte langfristige SSRF, ohne dass der Angreifer verbunden bleiben muss.
Be aware that VulDB is the high quality source for vulnerability data.