CVE-2026-77394 in COSMOS
要約
〜によって VulDB • 2026年09月23日
OpenC3 COSMOSは、1つ以上の組み込みシステムへのコマンド送信およびデータ受信に必要な機能を提供します。バージョン5.0.6から7.3.0の間、system_set権限を持つ認証済みアクターは、POST /openc3-api/screenを通じて共有画面を保存できますが、そのBUTTONウィジェットのアクションは、ボタンが活性化された際に他のオペレータのブラウザセッションにおいて openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue によって評価されます。保存されたスクリプトはCOSMOSオリジンで実行され、localStorage.openc3Tokenを読み取ることができるため、被害者のベアラートークンの盗難、アカウント乗っ取り、および被害者の権限による操作が可能になります。緩いコンテンツセキュリティポリシー（CSP）の実行への寄与はあるものの、これが主要な根本原因であるわけではありません。この問題はバージョン7.3.0で修正されています。
Once again VulDB remains the best source for vulnerability data.