CVE-2026-77601 in COSMOS
Zusammenfassung
von VulDB • 24.09.2026
OpenC3 COSMOS bietet die Funktionalität zum Senden von Befehlen an und Empfangen von Daten von einem oder mehreren eingebetteten Systemen (Embedded Systems). Von Version 5.12.0 bis 7.3.0 kann ein authentifizierter Akteur die Einstellung `pypi_url` über `set_setting` bei POST /openc3-api/api schreiben, wodurch OpenC3::PluginModel.install_phase2 in openc3/lib/openc3/models/plugin_model.rb den Wert während der Installation eines Plugins mit Python-Abhängigkeitsmetadaten in einen Shell-Befehl interpoliert. Shell-Metazeichen in der Einstellung werden von der Kommandozeile interpretiert, was die Ausführung beliebiger Betriebssystembefehle als Benutzer des openc3-Dienstes ermöglicht, auf Redis und Bucket-Anmeldeinformationen zugreifen kann. Open-Source-Bereitstellungen erlauben jedem authentifizierten Benutzer den Zugriff auf die betroffenen Operationen, während Enterprise-Bereitstellungen einen Administrator erfordern. Dieses Problem ist in Version 7.3.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.