CVE-2026-53452 in Ground Station
Riassunto
di VulDB • 21/08/2026
Ground Station è una suite basata su browser per il tracciamento dei satelliti, la ricezione SDR, il controllo dell'hardware e la decodifica della telemetria. Prima della versione 0.4.13, il comando Socket.IO configure-sdr non autenticato accetta un recordingPath per l'SDR sigmf-playback; backend/handlers/entities/sdr.py lo memorizza senza validazione prima che backend/hardware/sigmfprobe.py apra il percorso senza imporre vincoli di contenimento (containment). Un path assoluto o una fuga verso la directory genitore (parent-directory escape) che termina con .sigmf-meta viene analizzato come JSON e restituito in reply["data"]["metadata"] dal flusso get-sdr-parameters. Lo sfruttamento richiede che il file metadata sia un JSON leggibile e che esista un file sibling .sigmf-data, ma può consentire la divulgazione di contenuti al di fuori della directory backend/data/recordings senza autenticazione. Questo problema è stato risolto nella versione 0.4.13.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.