CVE-2026-53984
KrytyczneCVSS 9.1Streszczenie
Podatność w Ground Station (przed wersją 0.6.0) pozwala nieuwierzytelnionym atakującym na zniszczenie lub podmianę całej bazy danych SQLite poprzez wysłanie komendy full_restore do serwera Socket.IO na porcie 7000. Brak uwierzytelniania i polisa CORS typu wildcard umożliwiają zdalne wykonanie.
Ocena ryzyka
Atakujący może trwale usunąć wszystkie dane satelitarne, konfiguracje sprzętowe i harmonogramy obserwacji, a także wprowadzić fałszywe dane, co może doprowadzić do przekierowania stacji naziemnej na kontrolowane przez atakującego serwery.
Rekomendacja
Zaktualizuj Ground Station do wersji 0.6.0 lub nowszej. Wdróż uwierzytelnianie dla Socket.IO, ogranicz CORS i nie zezwalaj na nieautoryzowane operacje na bazie danych.
Oryginalny opis (angielski, źródło NVD)
Ground Station prior to 0.6.0 contains an unauthenticated database-destruction and arbitrary-data-injection vulnerability in the Socket.IO server's database_backup event handler that allows any unauthenticated network peer to wipe or replace the entire SQLite database by sending a single full_restore command with a caller-supplied SQL blob. Attackers can connect to the Socket.IO server on port 7000 without credentials due to disabled authentication enforcement and a wildcard CORS policy, then emit the database_backup event to drop every existing table and recreate the database from attacker-controlled CREATE TABLE and INSERT INTO statements executed via raw exec_driver_sql, permanently destroying all satellite records, orbital sources, hardware configurations, and observation schedules, or planting fabricated orbital-source URLs and observation entries that redirect the ground station to attacker-controlled servers on the next scheduled sync.