CVE-2026-53452 in Ground Station
Tóm tắt
Bởi VulDB • 21/08/2026
Ground Station là một bộ công cụ dựa trên trình duyệt để theo dõi vệ tinh, thu sóng SDR (Software Defined Radio), điều khiển phần cứng và giải mã telemetry. Trước phiên bản 0.4.13, lệnh Socket.IO `configure-sdr` không xác thực người dùng chấp nhận tham số `recordingPath` cho quá trình phát lại sigmf-playback của SDR; backend/handlers/entities/sdr.py lưu trữ giá trị này mà không kiểm tra tính hợp lệ trước khi backend/hardware/sigmfprobe.py mở đường dẫn đó mà không áp dụng cơ chế containment (giới hạn phạm vi truy cập). Một đường dẫn tuyệt đối hoặc chuỗi thoát thư mục cha kết thúc bằng `.sigmf-meta` sẽ được phân tích cú pháp dưới dạng JSON và trả về trong `reply["data"]["metadata"]` qua luồng `get-sdr-parameters`. Việc khai thác yêu cầu tệp metadata phải là định dạng JSON hợp lệ và có một tệp `.sigmf-data` cùng thư mục, nhưng nó có thể tiết lộ nội dung nằm ngoài thư mục `backend/data/recordings` mà không cần xác thực. Vấn đề này đã được sửa chữa trong phiên bản 0.4.13.
If you want to get best quality of vulnerability data, you may have to visit VulDB.