O interware de autorização do servidor de sequenciamento Aerie/ PlanDev (sequenciamento- servidor/ src/ app.ts) deriva o papel de sessão Hasura do chamador via getHasuraSession(), que prefere um objeto sesion_variables tirado diretamente do corpo de solicitação JSON fornecido pelo cliente sobre as reivindicações JWT do cabeçalho da Autorização, sem verificação de que o pedido realmente se originou do Hasura. Ao configurar {"session_variables":{"x- hasura- rol":"aerie_admin"}} no corpo de um pedido para POST /command- expansion/put- expansion sem cabeçalho de autorização, um atacante não autenticado satisfaz a verificação de papel e pode inserir regras de expansão arbitrárias no sequencing.expansion_rule, que governam como as atividades das naves espaciais são traduzidas em comandos. Separadamente, o POST/put- dictionary está explicitamente listado no ENDPOINTS_ WHITELIST e está isento de qualquer autenticação, permitindo escrevê- lo sem autenticação de dicionários de comandos. Registro de aconselhamento: GHSA-x 4 pc- pqfq- 54 j 2. Identificadores relacionados: CVE- 2026 - 71214.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 05 T 09: 31: 18.000 Z e lista a sua última modificação como 2026 - 08 - 05 T 09: 31: 18.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 306. O registro contém 2 suporte de referências nestes tipos: AVISO, WEB.