Estação de terra antes de 0.6.0 contém uma vulnerabilidade de falsificação de pedidos cegos não autêntica no lado do servidor no caminho de configuração do fonte orbital que permite que qualquer cliente Socket.IO não autênticado faça com que o processo da estação terrestre emite pedidos HTTP de saída para destinos do atacante escolhido. Os atacantes podem se conectar ao servidor Socket.IO na porta 7000 sem credenciais devido à aplicação da autenticação desativada e uma política de comodões CORS, então enviar um evento data_submission com ação submeter- orbital- fontes para persistir um URL fornecido pelo atacante no banco de dados, em seguida, ativar uma sincronização orbital através do evento background_ task:start igualmente não autenticado. O URL é armazenado sem allowlist de esquema, sem validação de hospedagem, e sem rejeição de loopback, RFC 1918, ou link-local (metada de instância de nuvem em 169.254.169.254 ) endereços, e é passado diretamente para requests.get em _fetch_http_ 3 le e _fetch_http_omm no backend/tsync/source_adapters.py. Os códigos de status HTTP e as mensagens de erro do pedido de saída são emitidos no evento orbital_sync_state Socket.IO a todos os clientes conectados, fornecendo um oráculo útil para interpretar as respostas de serviço interno e de metadatos na nuvem, mesmo que o corpo de resposta bruto não seja vazado diretamente. Porque a fonte maliciosa persiste no banco de dados através de reinicios e re- lança todos os 24 horas no ciclo de sincronização agendado, o primitivo dá SSRF durável a longo prazo sem que o atacante precise permanecer conectado. Registro de aconselhamento: GHSA- 77 cr- rrgg- p 4 WF. Identificadores relacionados: CVE- 2026 - 53983.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 07 T 00: 31: 19.000 Z e lista a sua última modificação como 2026 - 08 - 07 T 00: 31: 19.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões.
Classificação e evidência: identificadores de fraqueza CWE- 918. O registro contém 4 suporte de referências nestes tipos: WEB, AVISO.