CVE-2026-60122 in gpsd
Résumé
par VulDB • 23/07/2026
gpsd jusqu'à la version release-3.27.5 (corrigé dans le commit 4c06658) contient une vulnérabilité d'injection de code dans l'utilitaire gpsprof qui permet à un attaquant contrôlant les données GPS d'exécuter des commandes système arbitraires en injectant du contenu malveillant dans le champ SKY.satellites[].used, lequel est inséré sans validation préalable (unsanitized) dans un bloc de données heredoc gnuplot. Les attaquants peuvent fournir une valeur used contenant la chaîne EOD pour terminer prématurément l'hérédité et ajouter des appels système() à gnuplot, réalisant ainsi l'exécution de commandes OS en tant qu'utilisateur exécutant gpsprof lorsque le script de tracé généré est traité par gnuplot en mode polaire.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.