CVE-2026-53983

إصدارات Ground Station الأقدم من 0.6.0

يوجد ثغرة أمنية من نوع «تزوير الطلبات من جانب الخادم (SSRF) غير المصادق عليه» في مسار تكوين orbital-source. وهذا يسمح لعميل Socket.IO غير مصادق عليه بإجبار العملية على إرسال طلبات HTTP صادرة إلى وجهات عشوائية. يمكن للمهاجمين الاتصال بخادم Socket.IO على المنفذ 7000 دون الحاجة إلى بيانات اعتماد، وذلك بسبب تعطيل المصادقة وسياسة CORS التي تستخدم أحرف البدل. ومن خلال إرسال حدث data submission مع إجراء submit-orbital-sources، يمكن للمهاجم حفظ عنوان URL في قاعدة البيانات. ويؤدي تشغيل المزامنة المدارية عبر حدث background task:start إلى قيام النظام بمعالجة عنوان URL هذا. يفشل النظام في تطبيق قائمة السماح الخاصة بنظام الترقيم، أو التحقق من صحة المضيف، أو رفض عناوين loopback أو RFC1918 أو العناوين المحلية للرابط (مثل بيانات تعريف مثيل السحابة على العنوان 169.254.169.254). يتم تمرير عنوان URL مباشرةً إلى requests.get داخل الدالتين fetch http 3le() و fetch http omm() في الملف backend/tlesync/source adapters.py. على الرغم من عدم تسرب نص الاستجابة الخام، يتم إرسال رموز حالة HTTP ورسائل الخطأ عبر حدث Socket.IO المسمى orbital sync state، الذي يعمل بمثابة مرجع لتفسير استجابات الخدمة الداخلية وبيانات التعريف السحابية. ويستمر هذا التأثير لفترة طويلة حيث يبقى المصدر الخبيث في قاعدة البيانات ويتم إعادة تشغيله كل 24 ساعة خلال دورة المزامنة المجدولة.

تحديث Ground Station إلى الإصدار 0.6.0 أو أحدث.