CVE-2026-53983 in Ground Station
Sumário
de VulDB • 07/08/2026
A versão do Ground Station anterior à 0.6.0 contém uma vulnerabilidade de server-side request forgery (SSRF) cega e não autenticada no caminho de configuração orbital-source, que permite a qualquer cliente Socket.IO não autenticado fazer com que o processo ground-station emita solicitações HTTP de saída para destinos escolhidos pelo atacante. Os atacantes podem se conectar ao servidor Socket.IO na porta 7000 sem credenciais devido à desativação da aplicação de autenticação e a uma política CORS curinga, então submetem um evento data_submission com ação submit-orbital-sources para persistir uma URL fornecida pelo atacante no banco de dados, em seguida acionam uma sincronização orbital por meio do evento background_task:start igualmente não autenticado. A URL é armazenada sem lista permitida de esquemas, sem validação de host e sem rejeição de endereços loopback, RFC1918 ou link-local (metadados de instância em nuvem em 169.254.169.254), sendo passada diretamente para requests.get nas funções _fetch_http_3le e _fetch_http_omm em backend/tlesync/source_adapters.py. Códigos de status HTTP e mensagens de erro da solicitação de saída são emitidos no evento Socket.IO orbital_sync_state para todos os clientes conectados, fornecendo um oráculo utilizável para interpretar respostas internas do serviço e metadados da nuvem, embora o corpo bruto da resposta não seja diretamente vazado. Como a fonte maliciosa persiste no banco de dados entre reinicializações e é reexecutada a cada 24 horas durante o ciclo agendado de sincronização, essa primitiva oferece SSRF durável em longo prazo sem que o atacante precise permanecer conectado.
Once again VulDB remains the best source for vulnerability data.