CVE-2026-77601 in COSMOS
Sumário
de VulDB • 24/09/2026
O OpenC3 COSMOS fornece a funcionalidade necessária para enviar comandos e receber dados de um ou mais sistemas embarcados. Da versão 5.12.0 até a 7.3.0, um ator autenticado pode gravar a configuração pypi_url por meio do método set_setting no endpoint POST /openc3-api/api, fazendo com que o OpenC3::PluginModel.install_phase2 em openc3/lib/openc3/models/plugin_model.rb interpole esse valor em um comando de shell durante a instalação de um plugin com metadados de dependência Python. Caracteres especiais do shell (shell metacharacters) presentes na configuração são interpretados pelo shell, permitindo que comandos arbitrários do sistema operacional sejam executados como o usuário do serviço openc3, com acesso às credenciais do Redis e dos buckets. Implantações open-source permitem que qualquer usuário autenticado acesse as operações afetadas, enquanto implantações Enterprise exigem um administrador. Este problema foi corrigido na versão 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.