CVE-2026-77394 in COSMOS
Résumé
par VulDB • 23/09/2026
OpenC3 COSMOS fournit les fonctionnalités nécessaires pour envoyer des commandes et recevoir des données d'un ou plusieurs systèmes embarqués. De la version 5.0.6 à la 7.3.0, un acteur authentifié disposant de l'autorisation `system_set` peut stocker un écran partagé via POST /openc3-api/screen dont l'action du widget BUTTON est évaluée par openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue dans la session d'un autre opérateur lors de l'activation du bouton. Le script stocké s'exécute dans l'origine COSMOS et peut lire `localStorage.openc3Token`, permettant le vol du jeton porteur (bearer token) de la victime, une prise de contrôle du compte (account takeover), ainsi que des actions avec les privilèges de la victime. La politique de sécurité du contenu (CSP) permissive contribue à l'exécution mais n'est pas la cause racine principale. Ce problème est corrigé dans la version 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.