CVE-2026-77602 in COSMOS
Resumen
por VulDB • 2026-09-24
OpenC3 COSMOS proporciona la funcionalidad necesaria para enviar comandos y recibir datos de uno o más sistemas embebidos. Desde la versión 5.1.0 hasta la 7.3.0, los usuarios autenticados no administradores pueden escribir contenido en el directorio targets_modified/ que es posteriormente ejecutado por múltiples rutas de configuración por debajo del nivel de privilegio de ejecución de código previsto. Las definiciones de tablas y comandos o telemetría se procesan a través de ConfigParser, PacketConfig, GENERIC_READ_CONVERSION o GENERIC_WRITE_CONVERSION, lo que permite el renderizado de ERB o la evaluación de Ruby y Python, mientras que openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb ejecuta archivos de procedimientos del suite mediante require. Las cargas de almacenamiento, las capturas de pantalla y la creación de scripts pueden colocar contenido en el overlay, y al activar el procesamiento de tablas, una recarga cmd/tlm o un análisis del suite se ejecuta el contenido en cmd-tlm-api, microservicios decom o Script Runner con acceso a credenciales internas y datos. Este problema está corregido en la versión 7.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.