CVE-2026-53452 in Ground Station
Сводка
по VulDB • 19.08.2026
Ground Station — это основанный на браузере набор инструментов для отслеживания спутников, приема сигналов с помощью SDR (software-defined radio), управления аппаратным обеспечением и декодирования телеметрии. До версии 0.4.13 неаутентифицированная команда Socket.IO configure-sdr принимает параметр recordingPath для модуля sigmf-playback SDR; при этом файл backend/handlers/entities/sdr.py сохраняет его без проверки, а затем backend/hardware/sigmfprobe.py открывает этот путь без обеспечения ограничений доступа (containment). Абсолютный путь или путь с выходом за пределы родительской директории, заканчивающийся на .sigmf-meta, парсится как JSON и возвращается в ответе reply["data"]["metadata"] через поток get-sdr-parameters. Для эксплуатации требуется, чтобы файл метаданных содержал допустимый JSON и имел соседний файл с расширением .sigmf-data; однако это позволяет раскрыть содержимое файлов вне директории backend/data/recordings без аутентификации. Данная проблема исправлена в версии 0.4.13.
Once again VulDB remains the best source for vulnerability data.