CVE-2026-77394

Yüksek

Teknik Veri (Otomatik)

CVSS Skoru: 7.6
EPSS: —
CWE: CWE-79
KEV Durumu: Hayır

OpenC3 COSMOS, bir veya daha fazla gömülü sisteme komut gönderme ve veri alma işlevselliğini sağlar. 5.0.6'dan 7.3.0'a kadar, sistem_set izni olan kimlik doğrulama yapılmış bir aktör, POST /openc3-api/screen aracılığıyla paylaşılan bir ekranı depolayabilir ve bu ekrandaki BUTTON widget eylemi openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue tarafından başka bir operatörün tarayıcı oturumunda buton etkinleştirildiğinde değerlendirilir. Depolanan betik COSMOS kökeninde çalışır ve localStorage.openc3Token'u okuyabilir, bu da kurbanın taşıyıcı tokeninin çalınmasına, hesap ele geçirilmesine ve kurbanın ayrıcalıklarıyla gerçekleştirilen eylemlere izin verir. İzin verilen içerik güvenlik ilkesi yürütme konusunda katkıda bulunur ancak birincil kök neden değildir. Bu sorun 7.3.0 sürümünde giderilmiştir.

Orijinal açıklama (İngilizce)

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From 5.0.6 until 7.3.0, an authenticated actor with system_set permission can store a shared screen through POST /openc3-api/screen whose BUTTON widget action is evaluated by openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue in another operator's browser session when the button is activated. The stored script runs in the COSMOS origin and can read localStorage.openc3Token, allowing theft of the victim's bearer token, account takeover, and actions with the victim's privileges. The permissive content security policy contributes to execution but is not the primary root cause. This issue is fixed in version 7.3.0.

Referanslar

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.