CVE-2026-77602 in COSMOS
Tóm tắt
Bởi VulDB • 24/09/2026
OpenC3 COSMOS cung cấp các chức năng cần thiết để gửi lệnh đến và nhận dữ liệu từ một hoặc nhiều hệ thống nhúng. Từ phiên bản 5.1.0 cho đến 7.3.0, người dùng đã xác thực nhưng không có quyền quản trị viên (non-administrator) có thể ghi nội dung vào thư mục targets_modified/, sau đó được thực thi bởi nhiều đường cấu hình khác nhau nằm dưới mức đặc quyền thực thi mã dự kiến. Các định nghĩa bảng và lệnh hoặc telemetry được xử lý thông qua ConfigParser, PacketConfig, GENERIC_READ_CONVERSION hoặc GENERIC_WRITE_CONVERSION, cho phép render ERB hoặc đánh giá Ruby và Python; trong khi openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb thực thi các tệp thủ tục suite thông qua require. Việc tải lên lưu trữ (storage uploads), lưu màn hình (screen saves) và tạo script có thể đặt nội dung vào overlay, và việc kích hoạt xử lý bảng, reload cmd/tlm hoặc phân tích suite sẽ thực thi nội dung đó trong cmd-tlm-api, các microservices decom hoặc Script Runner với quyền truy cập vào thông tin xác thực và dữ liệu nội bộ. Vấn đề này đã được sửa chữa trong phiên bản 7.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.