CVE-2026-77601 in COSMOS
الملخص
بحسب VulDB • 23/09/2026
توفر منصة OpenC3 COSMOS الوظائف اللازمة لإرسال الأوامر إلى أنظمة مدمجة واحدة أو أكثر واستقبال البيانات منها. من الإصدار 5.12.0 حتى 7.3.0، يمكن لمُستخدم مُصادق عليه كتابة إعداد `pypi_url` عبر دالة `set_setting` في نقطة النهاية `POST /openc3-api/api`، مما يتسبب في قيام الدالة `OpenC3::PluginModel.install_phase2` الموجودة في الملف `openc3/lib/openc3/models/plugin_model.rb` بتضمين (interpolate) هذه القيمة داخل أمر shell أثناء تثبيت إضافة ذات اعتماديات Python. يتم تفسير أحرف التحكم الخاصة بـ Shell (Shell metacharacters) الموجودة في الإعداد من قبل قشرة الأمر، مما يسمح بتشغيل أوامر نظام تشغيل تعسفية بصلاحيات مستخدم خدمة `openc3` مع الوصول إلى بيانات الاعتماد الخاصة بـ Redis والمخازن (buckets). تتيح النشرات مفتوحة المصدر لأي مُستخدم مُصادق عليه الوصول إلى العمليات المتأثرة، بينما تتطلب نشرات Enterprise صلاحيات مدير النظام. تم إصلاح هذه المشكلة في الإصدار 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.