CVE-2026-77394

Nome do Software Vulnerável e Versões Afetadas OpenC3 COSMOS versões 5.0.6 through 7.2.0

Description Um ator autenticado com a permissão system set pode realizar um ataque de cross-site scripting (XSS) persistente entre usuários. Ao enviar uma requisição para o endpoint 'POST /openc3-api/screen', um invasor pode armazenar uma tela compartilhada contendo um widget BUTTON com uma ação maliciosa. Essa ação é processada pelo componente ButtonWidget.vue usando a função eval() quando outro operador ativa o botão em sua sessão de navegador. O script executado roda na origem do COSMOS e pode acessar localStorage.openc3Token, permitindo o roubo do token de portador da vítima, a tomada de conta da conta e a realização de ações com os privilégios da vítima. Uma Política de Segurança de Conteúdo (CSP) permissiva que permite unsafe-inline e unsafe-eval contribui para a execução do script.

Recommendations Atualize o OpenC3 COSMOS para a versão 7.3.0. Como mitigação temporária, restrinja o uso da permissão system set apenas a usuários confiáveis. Reforce a Política de Segurança de Conteúdo (CSP) em openc3-traefik/traefik.yaml removendo unsafe-inline e unsafe-eval para impedir a execução de scripts injetados.