CVE-2026-53983

Nome do Software Vulnerável e Versões Afetadas Ground Station versões anteriores a 0.6.0

Description Existe uma vulnerabilidade de server-side request forgery (SSRF) cega e não autenticada no caminho de configuração orbital-source. Isso permite que um cliente Socket.IO não autenticado force o processo a emitir requisições HTTP externas para destinos arbitrários. Atacantes podem se conectar ao servidor Socket.IO na porta 7000 sem credenciais devido à autenticação desativada e a uma política CORS de curinga. Ao enviar um evento data submission com a ação submit-orbital-sources, um atacante pode persistir uma URL no banco de dados. O acionamento de uma sincronização orbital através do evento background task:start faz com que o sistema processe essa URL. O sistema não implementa uma lista de permissões de esquema, validação de host ou rejeição de endereços de loopback, RFC1918 ou link-local (como metadados de instância de nuvem em 169.254.169.254). A URL é passada diretamente para requests.get dentro das funções fetch http 3le() e fetch http omm() em backend/tlesync/source adapters.py. Embora o corpo da resposta bruta não seja vazado, os códigos de status HTTP e as mensagens de erro são emitidos via evento Socket.IO orbital sync state, servindo como um oráculo para interpretar respostas de serviços internos e metadados de nuvem. Este efeito é duradouro, pois a fonte maliciosa persiste no banco de dados e é reativada a cada 24 horas durante o ciclo de sincronização agendado.

Recommendations Atualize o Ground Station para a versão 0.6.0 ou posterior.