Alta

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`)

Publicada: 02.10.2024
Actualizado: 11.10.2026 11:20

Summary

A path traversal vulnerability inside of LocalMode's open_local_file method allows an authenticated user with adequate permissions to download any .txt via the ScreensController#show on the web server COSMOS is running on (depending on the file permissions).

Note: This CVE affects all OpenC3 COSMOS Editions

Impact

This issue may lead to Information Disclosure.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	openc3	< 5.19.0	5.19.0

Referencias

Puntuación CVSS 6.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-22
Plataforma: Python (PyPI)
Paquete: openc3
Publicada: 02.10.2024
Actualizado: 11.10.2026 11:20

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-101 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8jxr-mccc-mwg8 - CC BY 4.0

Historial de vulnerabilidades: openc3

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (15) en el archivo

Entradas en total: 15
Primera → última: 10.2024 05.2026
Sin corrección: 7
Explotada en ataques: 0

Distribución por gravedad

Crítica 5
Alta 5
Media 5

Divulgaciones por año

2024: 3
2025: 7
2026: 5

04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Pyt

Alta · 8.1 CVE-2026-42088 < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From version 6.7.0 to before version 7.0.0-rc3, a SQL injection vulnerability ex

Crítica · 9.6 CVE-2026-42087 >= 6.7.0, < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to versions 6.10.5 and 7.0.0-rc3, the OpenC3 password change functionality

Alta · 8.1 CVE-2026-42084 < 6.10.5 6.10.5
13.06.2025

Weak password requirements in OpenC3 COSMOS v6.0.0 allow attackers to bypass authentication via a brute force attack.

Crítica · 9.8 CVE-2025-28389 <= 6.0.0 sin corrección
13.06.2025

An issue in the /script-api/scripts/ endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Crítica · 9.1 CVE-2025-28384 <= 6.0.0 sin corrección
13.06.2025

An issue in the openc3-api/tables endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Alta · 7.5 CVE-2025-28382 <= 6.0.0 sin corrección
13.06.2025

A credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all containers.

Alta · 7.5 CVE-2025-28381 <= 6.0.0 sin corrección
13.06.2025

OpenC3 COSMOS before v6.0.2 was discovered to contain hardcoded credentials for the Service Account.

Crítica · 9.8 CVE-2025-28388 <= 6.0.0 sin corrección
13.06.2025

A remote code execution (RCE) vulnerability in the Plugin Management component of OpenC3 COSMOS v6.0.0 allows attackers to execute arbitrary code via uploading a crafted .txt file.

Crítica · 9.8 CVE-2025-28386 <= 6.0.0 sin corrección
02.10.2024

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`) esta entrada

Alta · 6.5 CVE-2024-46977 < 5.19.0 5.19.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación