CVE-2025-28386

RCE w komponencie Plugin Management OpenC3 COSMOS poprzez spreparowany plik .txt

CVSS 9.8v3.1pub. 2025-06-13upd. 2025-06-23

Krytyczna podatność RCE w komponencie Plugin Management systemu OpenC3 COSMOS v6.0.0 umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Wysoki wynik CVSS 9.8 odzwierciedla brak wymagań co do uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność systemu.

▸ Pokaż oryginał (EN)

A remote code execution (RCE) vulnerability in the Plugin Management component of OpenC3 COSMOS v6.0.0 allows attackers to execute arbitrary code via uploading a crafted .txt file.

🤖 Analiza AI

Jak działa

Podatność (CWE-94 — improper control of code generation) polega na możliwości wgrania spreparowanego pliku z rozszerzeniem .txt do komponentu zarządzania wtyczkami. Plik ten zawiera złośliwy kod, który jest następnie interpretowany lub wykonywany przez aplikację po stronie serwera. Brak odpowiedniej walidacji zawartości przesyłanego pliku pozwala na ominięcie mechanizmów bezpieczeństwa i uruchomienie arbitralnych instrukcji w kontekście procesu aplikacji.

Skutki

Atakujący może zdalnie wykonać dowolny kod na serwerze bez konieczności posiadania jakichkolwiek uprawnień, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia integralności i dostępności platformy.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie dostępu do komponentu Plugin Management wyłącznie do zaufanych i uwierzytelnionych użytkowników oraz monitorowanie prób przesyłania plików do tego modułu.

Kogo dotyczy

OpenC3 COSMOS v6.0.0

Uwagi

Szczegóły techniczne podatności zostały opublikowane w ramach oceny bezpieczeństwa przeprowadzonej przez VisionSpace Technologies i dostępne są pod adresem wskazanym w referencjach.