CVE-2026-77394
Təsvir
OpenC3 COSMOS bir və ya bir neçə gömülü sistemə əmrlər göndərmək və onlardan məlumat almaq üçün lazım olan funksionallığı təmin edir. 5.0.6 versiyasından 7.3.0 versiyasına qədər, system_set icazəsinə malik autentifikasiya olunmuş aktor POST /openc3-api/screen vasitəsilə ortaq ekran saxlaya bilər ki, həmin ekranın BUTTON vidcet hərəkəti düymə aktivləşdirildikdə digər operatorun brauzer sessiyasında openc3-cosmos-init/plugins/packages/openc3-vue-common/src/widgets/ButtonWidget.vue tərəfindən qiymətləndirilir. Saxlanılan skript COSMOS mənşəyində işləyir və localStorage.openc3Token dəyərini oxuya bilir ki, bu da qurbanın bearer tokeninin oğurlanmasına, hesabın ələ keçirilməsinə və qurbanın imtiyazları ilə hərəkətlərin yerinə yetirilməsinə şərait yaradır. Permissiv məzmun təhlükəsizliyi siyasəti (CSP) icraya kömək edir, lakin əsas səbəb deyil. Bu problem 7.3.0 versiyasında düzəldilib.
Necə düzəltmək olar
- @openc3/vue-common7.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @openc3/vue-commonnpm | 5.0.6 ≤ v < 7.3.0 | 7.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.