CVE-2026-42086

OpenC3 COSMOS zapewnia funkcjonalność wysyłania poleceń i odbierania danych z jednego lub więcej systemów wbudowanych. Od wersji 5.1.0 do 7.3.0, uwierzytelnieni użytkownicy niebędący administratorami mogą zapisywać treści w katalogu targets_modified/, które są później wykonywane przez wiele ścieżek konfiguracyjnych poniżej zamierzonego poziomu uprawnień do wykonywania kodu. Definicje tabel i poleceń lub telemetrii są przetwarzane przez ConfigParser, PacketConfig, GENERIC_READ_CONVERSION lub GENERIC_WRITE_CONVERSION, umożliwiając renderowanie ERB lub ocenę Ruby i Pythona, podczas gdy openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb wykonuje pliki procedur suite przez require. Przesyłanie danych do magazynu, zapisy ekranów i tworzenie skryptów mogą umieścić treści w nakładce, a wyzwolenie przetwarzania tabel, przeładowania cmd/tlm lub analizy suite wykonuje treści w cmd-tlm-api, decom microservices lub Script Runner z dostępem do wewnętrznych poświadczeń i danych. Problem został naprawiony w wersji 7.3.0.

OpenC3 COSMOS przed wersją 7.0.0-rc3 umożliwia użytkownikom wykonywanie skryptów Python i Ruby z kontenera openc3-COSMOS-script-runner-api. Umożliwia to obejście kontroli uprawnień API i wykonywanie działań administracyjnych, w tym modyfikację danych w bazie Redis.

W OpenC3 COSMOS od wersji 5.12.0 do 7.3.0 uwierzytelniony użytkownik może zapisać ustawienie pypi_url przez set_setting w POST /openc3-api/api, a następnie doprowadzić do interpolacji tej wartości do polecenia powłoki podczas instalacji wtyczki z metadanymi zależności Pythona. Znaki specjalne powłoki w ustawieniu są interpretowane przez shell, co pozwala na wykonanie dowolnych poleceń systemowych jako użytkownik usługi openc3 z dostępem do poświadczeń Redis i bucketów.

W OpenC3 COSMOS od wersji 5.0.6 do 7.3.0 uwierzytelniony użytkownik z uprawnieniem system_set może zapisać współdzielony ekran przez POST /openc3-api/screen, którego akcja widżetu BUTTON jest wykonywana w przeglądarce innego operatora po aktywowaniu przycisku. Zapisany skrypt działa w origin COSMOS i może odczytać localStorage.openc3Token, co pozwala na kradzież tokenu bearer ofiary, przejęcie konta i działania z uprawnieniami ofiary.

OpenC3 COSMOS w wersjach przed 6.10.5 i 7.0.0-rc3 zawiera wadę projektową w funkcji save_tool_config(), która pozwala zapisywać pliki konfiguracyjne narzędzi w dowolnych lokalizacjach wewnątrz współdzielonego drzewa katalogu /plugins poprzez podanie spreparowanych nazw plików konfiguracyjnych. Mimo łagodzenia standardowych ataków path traversal, wszystkie wtyczki współdzielą ten sam katalog główny, co umożliwia tworzenie dowolnych struktur plików i nadpisywanie istniejących plików konfiguracyjnych.

OpenC3 COSMOS przed wersjami 6.10.5 i 7.0.0-rc3 pozwalał użytkownikom na zmianę hasła bez podawania starego hasła, akceptując jedynie ważny token sesji. To zachowanie może być wykorzystane przez atakującego, który posiada ważny token sesji, do przejęcia konta i zablokowania dostępu dla prawowitych użytkowników.