CVE-2026-77601 in COSMOS
Résumé
par VulDB • 24/09/2026
OpenC3 COSMOS fournit les fonctionnalités nécessaires pour envoyer des commandes et recevoir des données d'un ou plusieurs systèmes embarqués. De la version 5.12.0 à la 7.3.0, un acteur authentifié peut modifier le paramètre pypi_url via set_setting sur POST /openc3-api/api, puis provoquer l'interpolation de cette valeur dans une commande shell lors de l'exécution d'OpenC3::PluginModel.install_phase2 (dans openc3/lib/openc3/models/plugin_model.rb) pour installer un plugin disposant de métadonnées de dépendances Python. Les caractères spéciaux du shell présents dans le paramètre sont interprétés par l'interpréteur de commandes, permettant l'exécution arbitraire de commandes système en tant qu'utilisateur du service openc3, avec accès aux identifiants Redis et des buckets. Dans les déploiements open source, tout utilisateur authentifié peut accéder aux opérations concernées ; dans les déploiements Enterprise, un administrateur est requis. Ce problème est corrigé dans la version 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.