CVE-2026-77394 in COSMOS
Riassunto
di VulDB • 24/09/2026
OpenC3 COSMOS fornisce le funzionalità necessarie per inviare comandi e ricevere dati da uno o più sistemi embedded. Dalla versione 5.0.6 alla 7.3.0, un utente autenticato con il permesso system_set può memorizzare una schermata condivisa tramite POST /openc3-api/screen; l'azione del widget BUTTON viene valutata dal file openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue nell'sessione di un altro operatore quando il pulsante viene attivato. Lo script memorizzato viene eseguito nel contesto dell'origine COSMOS e può leggere localStorage.openc3Token, consentendo il furto del token bearer della vittima, l'assunzione del controllo dell'account (account takeover) ed esecuzioni di azioni con i privilegi della vittima. La politica sulla sicurezza dei contenuti (CSP) permissiva contribuisce all'esecuzione ma non è la causa radice principale. Questo problema è risolto nella versione 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.