CVE-2026-53452 in Ground Station
要約
〜によって VulDB • 2026年08月19日
Ground Stationは、衛星追跡、SDR受信、ハードウェア制御、およびテレメトリデコードのためのブラウザベースのスイートです。バージョン0.4.13以前では、認証不要のconfigure-sdr Socket.IOコマンドがsigmf-playback SDR用のrecordingPathを受け取り、backend/handlers/entities/sdr.pyで検証せずに保存されます。その後、backend/hardware/sigmfprobe.pyがパスを開く際に包含制約を適用しません。.sigmf-metaで終わる絶対パスまたは親ディレクトリエスケープはJSONとして解析され、get-sdr-parametersフローによってreply["data"]["metadata"]に返されます。攻撃には、メタデータファイルが読み取り可能なJSONであり、兄弟の.sigmf-dataファイルが存在する必要がありますが、認証なしでbackend/data/recordings外のコンテンツを漏洩させることができます。この問題はバージョン0.4.13で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.