CVE-2026-53984
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.7%
- CWE
- CWE-306
- KEV Durumu
- Hayır
Yayım tarihi: 6 Ağustos 2026
0.6.0 sürümünden önceki Ground Station, Socket.IO sunucusunun database_backup olay işleyicisindeki bir kimlik doğrulaması olmadan veritabanı yok etme ve keyfi veri enjeksiyonu zafiyeti içerir. Bu, herhangi bir kimlik doğrulaması olmadan ağ peerlerinin tek bir full_restore komutu göndererek tüm SQLite veritabanını silebilmesine veya değiştirebilmesine olanak tanır. Saldırganlar, devre dışı bırakılan kimlik doğrulama zorlaması ve joker CORS politikası nedeniyle kimlik bilgilerini girmeden 7000 numaralı porttaki Socket.IO sunucusuna bağlanabilir, ardından veritabanını mevcut tüm tabloları düşürerek ve saldırgan tarafından kontrol edilen CREATE TABLE ve INSERT INTO ifadelerini çalıştırarak raw exec_driver_sql aracılığıyla veritabanını yeniden oluşturmak için database_backup olayını yayınlatabilir. Bu, tüm uydu kayıtlarını, yörünge kaynaklarını, donanım yapılandırmalarını ve gözlem zamanlamalarını kalıcı olarak yok eder veya sonraki planlı senkronizasyon sırasında ground istasyonunu saldırgan tarafından kontrol edilen sunuculara yönlendiren sahte yörünge kaynağı URL'leri ve gözlem girişleri ekler.
Orijinal açıklama (İngilizce)
Ground Station prior to 0.6.0 contains an unauthenticated database-destruction and arbitrary-data-injection vulnerability in the Socket.IO server's database_backup event handler that allows any unauthenticated network peer to wipe or replace the entire SQLite database by sending a single full_restore command with a caller-supplied SQL blob. Attackers can connect to the Socket.IO server on port 7000 without credentials due to disabled authentication enforcement and a wildcard CORS policy, then emit the database_backup event to drop every existing table and recreate the database from attacker-controlled CREATE TABLE and INSERT INTO statements executed via raw exec_driver_sql, permanently destroying all satellite records, orbital sources, hardware configurations, and observation schedules, or planting fabricated orbital-source URLs and observation entries that redirect the ground station to attacker-controlled servers on the next scheduled sync.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.