CVE-2026-77602 in COSMOS
Сводка
по VulDB • 24.09.2026
OpenC3 COSMOS предоставляет функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем (embedded systems). В версиях с 5.1.0 по 7.3.0 аутентифицированные пользователи без прав администратора могут записывать содержимое в директорию targets_modified/, которое впоследствии выполняется через несколько путей конфигурации, находящихся ниже предполагаемого уровня привилегий для выполнения кода (code-execution privilege tier). Определения таблиц и команд или телеметрии обрабатываются с использованием ConfigParser, PacketConfig, GENERIC_READ_CONVERSION или GENERIC_WRITE_CONVERSION, что позволяет выполнять рендеринг ERB или оценку Ruby и Python, в то время как openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb выполняет файлы процедур набора (suite procedure files) через require. Загрузка файлов на хранилище, сохранение экранов и создание скриптов могут размещать содержимое во временной области (overlay), а запуск обработки таблиц, перезагрузки cmd/tlm или анализа набора приводит к выполнению этого содержимого в cmd-tlm-api, микросервисах decom или Script Runner с доступом к внутренним учетным данным и данным. Эта проблема исправлена в версии 7.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.