nvd,anchore_overrides
Openc3
Уязвимости
16
Эксплуатируемые
0
Критический
6
Высокий
4
Топ продуктов
Топ уязвимостей
CVE-2025-68271OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. С 5.0.0 до 6.10.1 OpenC3 COSMOS содержит критическую уязвимость удаленного выполнения кода, доступную через JSON-RPC API. Когда запрос JSON-RPC использует строчную форму определенных API, текст параметров, управляемый злоумышленником, анализируется на значения с помощью String#convert_to_value. Для массивоподобных входов конвертировать_to_value исполняет eval(). Поскольку путь код cmd анализирует строку команд перед вызовом авториза(), неаудированный злоумышленник может инициировать выполнение кода Ruby, даже если запрос в конечном итоге не работает авторизация (401). Эта уязвимость зафиксирована в пункте 6.10.2.
CVE-2025-28389Слабые требования к паролю в OpenC3 COSMOS v6.0.0 позволяют злоумышленникам обойти аутентификацию посредством атаки brute force [1][2].
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2025-28388OpenC3 COSMOS v6.0.0 содержит захардкоженные учетные данные для учетной записи Service Account [1].
В ходе оценки безопасности версии 6.0.0 было обнаружено несколько критических уязвимостей, включая XSS, RCE, произвольный доступ к файлам и утечку учетных данных [2].
Рекомендуется улучшить валидацию ввода, контроль доступа и защиту контейнеров [2].
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2025-28386Уязвимость удаленного выполнения кода (RCE) в компоненте Plugin Management OpenC3 COSMOS v6.0.0 позволяет злоумышленникам выполнить произвольный код путем загрузки специально подготовленного файла .txt. [1]
Во время установки плагина Python приложение устанавливает необходимые пакеты из файла requirements.txt, что может быть использовано для выполнения вредоносного кода. [2]
Рекомендация: ограничить права на установку плагинов только для администраторов и проводить регулярный аудит.
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2026-42087OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. От версии 6.7.0 до версии 7.0.0-rc3, уязвимость инъекций SQL существует в компоненте базы данных временных серий (TSDB) COSMOS. Функция tsdb_lookup в файле cvt_model.rb напрямую помещает пользовательский ввод в запрос SQL без дезинфекция входа. В результате пользователь может вырваться из первоначального оператора SQL и выполнить произвольные команды SQL, включая удаление данных. Эта проблема была исправлена в версии 7.0.0-rc3.
CVE-2025-28384Уязвимость в конечной точке /script-api/scripts/ OpenC3 COSMOS 6.0.0 позволяет злоумышленникам выполнить атаку directory traversal, что может привести к произвольному доступу к файлам и потенциально к выполнению кода [1][2].
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2026-42088OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. До версии 7.0.0-rc3 виджет Script Runner позволяет пользователям выполнять скрипты Python и Ruby непосредственно из контейнера openc3-COSMOS-script-runner-api. Поскольку все контейнеры docker делятся сетью, пользователи могут выполнять специально созданные скрипты для обхода проверки разрешений API и выполнения административных действий, включая чтение и изменение данных в базе данных Redis, которые могут использоваться для чтения секретов и изменения настроек COSMOS, а также чтения и записи в службу ведер, которая содержит файлы конфигурации, журнала и плагина. Эти действия, как правило, доступны только в Консоли администратора или с административными привилегиями. Любой пользователь с разрешением на создание и запуск скриптов может подключиться к любой службе в сети docker. Эта проблема была исправлена в версии 7.0.0-rc3.
CVE-2026-42084OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. До версий 6.10.5 и 7.0.0-rc3 функциональность изменения пароля OpenC3 позволяет пользователю изменить свой пароль без предоставления старого пароля, вместо этого приняв действительный токен сеанса. В предполагаемых сценариях нарушения это поведение может быть использовано злоумышленником, который уже получил действительный токен сеанса, чтобы получить настойчивость в захваченной учетной записи (включая администратор) и предотвратить доступ законных пользователей к учетной записи. Эта проблема была исправлена в версиях 6.10.5 и 7.0.0-rc3.
CVE-2025-28382Уязвимость обхода директорий в OpenC3 COSMOS 6.0.0 позволяет злоумышленнику выполнить произвольное чтение, удаление и копирование файлов через API openc3-api/tables [1]. Злоумышленник может отправить GET-запрос на `/openc3-api/tables/../../../../../../../../<path-to-file>`, чтобы прочитать произвольный файл. Для удаления файла можно отправить DELETE-запрос на тот же endpoint. Для копирования файла - PUT-запрос на `/openc3-api/tables/../../../../../../../../<copy-from-path>/save-as/../../../../../../../../<copy-to-path>`. Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2025-28381Утечка учетных данных в OpenC3 COSMOS v6.0.0 позволяет злоумышленникам получить доступ к учетным данным служб как переменным среды, хранящимся во всех контейнерах [1][2].
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2025-28380Уязвимость межсайтового скриптинга (XSS) в OpenC3 COSMOS v6.0.0 позволяет злоумышленникам выполнить произвольный веб-скрипт или HTML путем внедрения специально подготовленного payload в параметр URL. [1]
Инструмент Documentation позволяет внедрять JavaScript-код из контролируемого пользователем параметра URL, что можно объединить с инструментом Script Runner, чтобы автоматически извлечь токен сессии или получить удаленное выполнение кода. [2]
Рекомендация: изменить определение инструмента, чтобы удалить компонент iframe, или жестко закодировать необходимые параметры для отображения страниц документации.
Источники:
- [1] https://openc3.com/
- [2] https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework/
CVE-2024-46977OpenC3 COSMOS предоставляет функциональность, необходимую для отправки команд и получения данных от одной или нескольких встроенных систем. Уязвимость обхода пути внутри метода open_local_file LocalMode позволяет аутентифицированному пользователю с достаточными разрешениями загрузить любой .txt через ScreensController#show на веб-сервере, на котором работает COSMOS (в зависимости от разрешений файла). Эта уязвимость исправлена в версии 5.19.0.
CVE-2024-43795OpenC3 COSMOS предоставляет функциональные возможности, необходимые для отправки команд и получения данных из одной или нескольких встроенных систем. Функция входа в систему содержит отраженную уязвимость межсайтового скриптинга (XSS). Эта уязвимость исправлена в версии 5.19.0. Примечание: это CVE затрагивает только Open Source Edition, а не OpenC3 COSMOS Enterprise Edition.
CVE-2024-47529OpenC3 COSMOS предоставляет функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. OpenC3 COSMOS хранит пароль пользователя в незашифрованном виде в LocalStorage веб-браузера. Это делает пароль пользователя восприимчивым к эксфильтрации через межсайтовый скриптинг (см. GHSL-2024-128). Эта уязвимость устранена в версии 5.19.0. Это относится только к версии Open Source, а не к OpenC3 COSMOS Enterprise Edition.
CVE-2026-42086OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. До версии 7.0.0 пользовательский интерфейс команд-персонажа использует небезопасную функцию eval() на параметрах команд, похожих на массив, что позволяет полезной нагрузке, поставляемой пользователем, выполнять в браузере при отправке команды. Это создает риск самоXSS, потому что злоумышленник может вызвать собственное исполнение скрипта в сеансе жертвы, если ему разрешено влиять на вход параметра массива, например, с помощью фишинга. В случае успеха злоумышленник может читать или изменять данные в аутентифицированном контексте браузера, включая сессионные токены в локальном хранилище. Эта проблема была исправлена в версии 7.0.0.
CVE-2026-42085OpenC3 COSMOS обеспечивает функциональность, необходимую для отправки команд и получения данных из одной или нескольких встроенных систем. До версий 6.10.5 и 7.0.0-rc3, OpenC3 COSMOS содержит дефект дизайна в функции save_tool_config(), который позволяет сохранять файлы конфигурации инструмента в произвольных местоположениях внутри общего дерева каталогов /plugins путем предоставления созданных файлов конфигураций. Хотя реализация в достаточной степени смягчает стандартные атаки траверса, канонизируя имя файла на абсолютный путь, все плагины имеют этот же корневой каталог. Это позволяет пользователям создавать произвольные структуры файлов и перезаписывать существующие файлы конфигурации в каталоге общих / плагинов. Эта проблема была исправлена в версиях 6.10.5 и 7.0.0-rc3.