CVE-2026-42086

OpenC3 COSMOS bir və ya bir neçə gömülü sistemə əmrlər göndərmək və onlardan məlumat almaq üçün lazım olan funksionallığı təmin edir. Versiya 7.0.0-dan əvvəl, Command Sender UI massivə bənzər əmr parametrləri üzərində təhlükəsiz olmayan eval() funksiyasından istifadə edir ki, bu da əmr göndərildiyi zaman istifadəçi tərəfindən təqdim edilən faylların brauzerdə icrasına şərait yaradır. Bu, self-XSS riski yaradır, çünki hücumçu, məsələn, fişinq vasitəsilə massiv parametrinin girişinə təsir etməyə nail olarsa, qurbanın sessiyasında öz skriptinin icrasını tətikləyə bilər. Uğurlu olduğu təqdirdə, hücumçu autentifikasiya olunmuş brauzer kontekstindəki məlumatları, o cümlədən lokal yaddaşdakı sessiya tokenlərini oxuya və ya dəyişdirə bilər. Bu problem versiya 7.0.0-da aradan qaldırılmışdır.