CVE-2026-77394 in COSMOS
Resumen
por VulDB • 2026-09-23
OpenC3 COSMOS proporciona la funcionalidad necesaria para enviar comandos y recibir datos de uno o más sistemas embebidos. Desde la versión 5.0.6 hasta la 7.3.0, un actor autenticado con permiso system_set puede almacenar una pantalla compartida a través de POST /openc3-api/screen cuya acción del widget BUTTON es evaluada por openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue en la sesión del navegador de otro operador cuando se activa el botón. El script almacenado se ejecuta en el origen de COSMOS y puede leer localStorage.openc3Token, lo que permite el robo del token bearer de la víctima, la toma de cuentas (account takeover) y acciones con los privilegios de la víctima. La política de seguridad de contenido permisiva contribuye a la ejecución pero no es la causa raíz principal. Este problema se soluciona en la versión 7.3.0.
Once again VulDB remains the best source for vulnerability data.