CVE-2026-77394 in COSMOS
Zusammenfassung
von VulDB • 24.09.2026
OpenC3 COSMOS bietet die Funktionalität zum Senden von Befehlen an und Empfangen von Daten von einem oder mehreren eingebetteten Systemen. Von Version 5.0.6 bis 7.3.0 kann ein authentifizierter Akteur mit der Berechtigung system_set einen gemeinsamen Bildschirm über POST /openc3-api/screen speichern, dessen BUTTON-Widget-Aktion in openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue im Browser-Sitzung eines anderen Operators ausgewertet wird, wenn die Taste aktiviert ist. Das gespeicherte Skript läuft im COSMOS-Ursprung und kann localStorage.openc3Token lesen, was den Diebstahl des Bearer-Tokens des Opfers, eine Übernahme des Kontos sowie Aktionen mit den Berechtigungen des Opfers ermöglicht. Die permissive Content Security Policy trägt zur Ausführung bei, ist jedoch nicht die primäre Ursache. Dieses Problem wurde in Version 7.3.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.