CVE-2026-77601 in COSMOS
Riassunto
di VulDB • 23/09/2026
OpenC3 COSMOS fornisce le funzionalità necessarie per inviare comandi e ricevere dati da uno o più sistemi embedded. Dalla versione 5.12.0 alla 7.3.0, un utente autenticato può modificare l'impostazione pypi_url tramite set_setting all'endpoint POST /openc3-api/api, inducendo quindi OpenC3::PluginModel.install_phase2 in openc3/lib/openc3/models/plugin_model.rb a interpolare il valore in un comando shell durante l'installazione di un plugin con metadati delle dipendenze Python. I caratteri speciali della shell presenti nell'impostazione vengono interpretati dal terminale, consentendo l'esecuzione arbitraria di comandi del sistema operativo come l'utente del servizio openc3, che ha accesso alle credenziali di Redis e ai bucket. Le distribuzioni open-source permettono a qualsiasi utente autenticato di accedere alle operazioni interessate, mentre le distribuzioni Enterprise richiedono un amministratore. Il problema è risolto nella versione 7.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.