CVE-2026-42086
Açıklama
OpenC3 COSMOS, bir veya daha fazla gömülü sisteme komut göndermek ve bunlardan veri almak için gereken işlevselliği sağlar. Versiyon 7.0.0 öncesinde, Command Sender UI, dizi benzeri komut parametreleri üzerinde güvenli olmayan bir eval() fonksiyonu kullanmaktadır; bu durum, bir komut gönderilirken kullanıcı tarafından sağlanan bir yükün tarayıcıda çalıştırılmasına olanak tanır. Bu durum, örneğin kimlik avı yoluyla dizi parametresi girdisini etkilemeye izin verilirse, bir saldırganın kurbanın oturumunda kendi betik yürütmesini tetikleyebilmesi nedeniyle bir self-XSS riski oluşturur. Başarılı olması durumunda bir saldırgan, yerel depolamadaki oturum belirteçleri dahil olmak üzere, kimliği doğrulanmış tarayıcı bağlamındaki verileri okuyabilir veya değiştirebilir. Bu sorun versiyon 7.0.0 ile düzeltilmiştir.
Nasıl düzeltilir
- openc3 cosmos7.0.0 ya da sonraki bir sürüm
- openc37.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openc3 cosmos | v < 7.0.0, 7.0.0 | 7.0.0 |
| openc3RubyGems | v < 7.0.0 | 7.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.