PT-2026-36880 · Unknown · Openc3 Cosmos

Ctrlsill · Publicado 2026-04-22 · Atualizado 2026-05-08 · CVE-2026-42086

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.6

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenC3 COSMOS versões anteriores a 7.0.0

Descrição A interface do Command Sender utiliza uma função eval() insegura em parâmetros de comando do tipo array. Isso permite que um payload fornecido pelo usuário seja executado no navegador ao enviar um comando, criando um risco de self-XSS (Cross-Site Scripting). Um invasor poderia disparar a execução de scripts na sessão de uma vítima se conseguir influenciar a entrada do parâmetro de array, por exemplo, por meio de phishing. A exploração bem-sucedida pode permitir que um invasor leia ou modifique dados no contexto do navegador autenticado, incluindo tokens de sessão armazenados no armazenamento local.

Recomendações Atualizar para a versão 7.0.0.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42086

GHSA-FFQ5-QPVF-XQ7X

PYSEC-2026-105

Produtos afetados

Openc3 Cosmos

Referências · 11

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/openc3/CVE-2026-42086.yml · Exploit
• 🔥 https://github.com/OpenC3/cosmos/security/advisories/GHSA-ffq5-qpvf-xq7x · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/openc3/PYSEC-2026-105.yaml · Nota
• https://github.com/OpenC3/cosmos · Nota
• https://twitter.com/CVEnew/status/2051361264975196178 · Publicação no Twitter
• https://osv.dev/vulnerability/PYSEC-2026-105 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42086 · Nota de Segurança
• https://t.me/cveNotify/162784 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2051390853411672164 · Publicação no Twitter
• https://t.me/cveNotify/162546 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-ffq5-qpvf-xq7x · Aviso do Fabricante