CVE-2026-71214

The Aerie/PlanDev sequencing-server's authorization middleware (sequencing-server/src/app.ts) derives the caller's Hasura session role via getHasuraSession, which prefers a session_variables object taken directly from the client-supplied JSON request body over the Authorization header's JWT claims, with no verification that the request actually originated from Hasura.

CVSS v3 9.8 CRITICAL

9.8^/10

CVSS v3 : CRITICAL

Vector :

Exploitability : 3.9 / Impact : 5.9

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References

Link	Resource
https://github.com/NASA-AMMOS/plandev

Configurations

No configuration.

History

23 Oct 2026, 21:10

Type	Values Removed	Values Added
Summary		(es) El middleware de autorización del sequencing-server de Aerie/PlanDev (sequencing-server/src/app.ts) deriva el rol de sesión de Hasura del llamador a través de getHasuraSession(), que prefiere un objeto session_variables tomado directamente del cuerpo de la solicitud JSON suministrado por el cliente sobre las reclamaciones JWT del encabezado Authorization, sin verificación de que la solicitud realmente se originó en Hasura. Al establecer {’session_variables’:{’x-hasura-role’:’aerie_admin’}} en el cuerpo de una solicitud a POST /command-expansion/put-expansion sin encabezado Authorization, un atacante no autenticado satisface la verificación de rol y puede insertar reglas de expansión arbitrarias en sequencing.expansion_rule, que rigen cómo las actividades de la nave espacial se traducen en comandos. Por separado, POST /put-dictionary está explícitamente listado en la ENDPOINTS_WHITELIST y está exento de cualquier autenticación, permitiendo escrituras no autenticadas de diccionarios de comandos.

Information

Published : 2026-08-05 08:16

Updated : 2026-10-24 15:10

NVD link : CVE-2026-71214

Mitre link : CVE-2026-71214

CVE.ORG link : CVE-2026-71214

JSON object : View

Products Affected

No product.

CWE

CWE-306

Missing Authentication for Critical Function

{"id": "CVE-2026-71214", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-71214", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "yes"}, {"technicalImpact": "total"}], "version": "2.0.3", "timestamp": "2026-08-05T13:27:50.535716Z"}}], "cvssMetricV31": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "cvssData": {"scope": "UNCHANGED", "version": "3.1", "baseScore": 9.8, "attackVector": "NETWORK", "baseSeverity": "CRITICAL", "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H", "integrityImpact": "HIGH", "userInteraction": "NONE", "attackComplexity": "LOW", "availabilityImpact": "HIGH", "privilegesRequired": "NONE", "confidentialityImpact": "HIGH"}, "impactScore": 5.9, "exploitabilityScore": 3.9}]}, "affected": [{"source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "affectedData": [{"vendor": "NASA-AMMOS", "product": "plandev (sequencing-server)", "versions": [{"status": "affected", "version": "0"}], "programFiles": ["sequencing-server/src/app.ts", "sequencing-server/src/utils/hasura.ts"], "defaultStatus": "unknown"}]}], "published": "2026-08-05T08:16:43.807", "references": [{"url": "https://github.com/NASA-AMMOS/plandev", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c", "description": [{"lang": "en", "value": "CWE-306"}]}], "descriptions": [{"lang": "en", "value": "The Aerie/PlanDev sequencing-server's authorization middleware (sequencing-server/src/app.ts) derives the caller's Hasura session role via getHasuraSession, which prefers a session_variables object taken directly from the client-supplied JSON request body over the Authorization header's JWT claims, with no verification that the request actually originated from Hasura."}, {"lang": "es", "value": "El middleware de autorizaci\u00f3n del sequencing-server de Aerie/PlanDev (sequencing-server/src/app.ts) deriva el rol de sesi\u00f3n de Hasura del llamador a trav\u00e9s de getHasuraSession(), que prefiere un objeto session_variables tomado directamente del cuerpo de la solicitud JSON suministrado por el cliente sobre las reclamaciones JWT del encabezado Authorization, sin verificaci\u00f3n de que la solicitud realmente se origin\u00f3 en Hasura. Al establecer {\u2019session_variables\u2019:{\u2019x-hasura-role\u2019:\u2019aerie_admin\u2019}} en el cuerpo de una solicitud a POST /command-expansion/put-expansion sin encabezado Authorization, un atacante no autenticado satisface la verificaci\u00f3n de rol y puede insertar reglas de expansi\u00f3n arbitrarias en sequencing.expansion_rule, que rigen c\u00f3mo las actividades de la nave espacial se traducen en comandos. Por separado, POST /put-dictionary est\u00e1 expl\u00edcitamente listado en la ENDPOINTS_WHITELIST y est\u00e1 exento de cualquier autenticaci\u00f3n, permitiendo escrituras no autenticadas de diccionarios de comandos."}], "lastModified": "2026-10-24T15:10:00.190", "sourceIdentifier": "309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c"}