CVE-2026-77602
Açıklama
OpenC3 COSMOS, bir veya daha fazla gömülü sisteme komut göndermek ve bunlardan veri almak için gereken işlevselliği sağlar. 5.1.0 ile 7.3.0 sürümleri arasında, kimliği doğrulanmış yönetici olmayan kullanıcılar, daha sonra hedeflenen kod yürütme yetki katmanının altındaki birden fazla yapılandırma yolu tarafından çalıştırılan targets_modified/ altına içerik yazabilirler. Tablo ve komut veya telemetri tanımları ConfigParser, PacketConfig, GENERIC_READ_CONVERSION veya GENERIC_WRITE_CONVERSION aracılığıyla işlenerek ERB oluşturmaya veya Ruby ve Python değerlendirmesine izin verirken; openc3-cosmos-script-runner-api/scripts/run_suite_analysis.rb, suite prosedür dosyalarını require üzerinden çalıştırır. Depolama yüklemeleri, ekran kayıtları ve betik oluşturma işlemleri overlay kısmına içerik yerleştirebilir ve tablo işlemenin, bir cmd/tlm yeniden yüklemesinin veya suite analizinin tetiklenmesi; içeriğin dahili kimlik bilgileri ve verilere erişimi olan cmd-tlm-api, decom mikro servisleri veya Script Runner içinde çalışmasına neden olur. Bu sorun 7.3.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenC3 cosmos | >= 5.1.0, < 7.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.