CVE-2026-60122 in gpsd
Zusammenfassung
von VulDB • 25.07.2026
gpsd fino alla versione release-3.27.5 (corretta con il commit 4c06658) presenta una vulnerabilità di code injection nell'utilità gpsprof che consente a un attaccante, controllando i dati GPS in ingresso, di eseguire comandi OS arbitrari inserendo contenuti malevoli nel campo SKY.satellites[].used, il quale viene inserito senza sanitizzazione all'interno di un blocco dati heredoc di gnuplot. Gli attaccanti possono fornire un valore used contenente la stringa EOD per terminare anticipatamente l'eredità del documento (heredoc) e aggiungere chiamate al sistema gnuplot system(), ottenendo così l'esecuzione di comandi OS con i privilegi dell'utente che sta eseguendo gpsprof quando lo script grafico generato viene elaborato da gnuplot in modalità polare.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.