CVE-2026-77602 in COSMOS
Sumário
de VulDB • 23/09/2026
O OpenC3 COSMOS fornece a funcionalidade necessária para enviar comandos e receber dados de um ou mais sistemas embarcados. Da versão 5.1.0 até a 7.3.0, usuários autenticados não administradores podem gravar conteúdo no diretório targets_modified/, que é posteriormente executado por múltiplos caminhos de configuração abaixo do nível pretendido de privilégio de execução de código. Definições de tabelas e comandos ou telemetria são processadas através do ConfigParser, PacketConfig, GENERIC_READ_CONVERSION ou GENERIC_WRITE_CONVERSION, permitindo renderização ERB ou avaliação de Ruby e Python, enquanto o script openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb executa arquivos de procedimento da suite por meio de require. Uploads de armazenamento, salvamentos de tela e criação de scripts podem colocar conteúdo no overlay, e acionar o processamento de tabelas, um reload de cmd/tlm ou a análise da suite executa o conteúdo no cmd-tlm-api, nos microsserviços decom ou no Script Runner com acesso a credenciais internas e dados. Este problema é corrigido na versão 7.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.