Średnia

OpenC3 Cross-site Scripting in Login functionality (`GHSL-2024-128`)

Ujawniono: 02.10.2024
Aktualizacja: 11.10.2026 11:20

Summary

The login functionality contains a reflected cross-site scripting (XSS) vulnerability.

Note: This CVE only affects Open Source Edition, and not OpenC3 COSMOS Enterprise Edition

Impact

This issue may lead up to Remote Code Execution (RCE).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	@openc3/tool-common	< 5.19.0	5.19.0
Python (PyPI)	openc3	< 5.19.0	5.19.0

Odnośniki

Ocena CVSS 6.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-79
Platforma: npm, Python (PyPI)
Paczka: @openc3/tool-common, openc3
Ujawniono: 02.10.2024
Aktualizacja: 11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2024-100 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-vfj8-5pj7-2f9g - CC BY 4.0

Historia podatności: openc3

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (15) w archiwum

Wszystkich wpisów: 15
Pierwsza → ostatnia: 10.2024 05.2026
Bez poprawki: 7
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 5
Wysoka 5
Średnia 5

Ujawnienia w latach

2024: 3
2025: 7
2026: 5

04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Pyt

Wysoka · 8.1 CVE-2026-42088 < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From version 6.7.0 to before version 7.0.0-rc3, a SQL injection vulnerability ex

Krytyczna · 9.6 CVE-2026-42087 >= 6.7.0, < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to versions 6.10.5 and 7.0.0-rc3, the OpenC3 password change functionality

Wysoka · 8.1 CVE-2026-42084 < 6.10.5 6.10.5
13.06.2025

Weak password requirements in OpenC3 COSMOS v6.0.0 allow attackers to bypass authentication via a brute force attack.

Krytyczna · 9.8 CVE-2025-28389 <= 6.0.0 brak poprawki
13.06.2025

An issue in the /script-api/scripts/ endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Krytyczna · 9.1 CVE-2025-28384 <= 6.0.0 brak poprawki
13.06.2025

An issue in the openc3-api/tables endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Wysoka · 7.5 CVE-2025-28382 <= 6.0.0 brak poprawki
13.06.2025

A credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all containers.

Wysoka · 7.5 CVE-2025-28381 <= 6.0.0 brak poprawki
13.06.2025

OpenC3 COSMOS before v6.0.2 was discovered to contain hardcoded credentials for the Service Account.

Krytyczna · 9.8 CVE-2025-28388 <= 6.0.0 brak poprawki
13.06.2025

A remote code execution (RCE) vulnerability in the Plugin Management component of OpenC3 COSMOS v6.0.0 allows attackers to execute arbitrary code via uploading a crafted .txt file.

Krytyczna · 9.8 CVE-2025-28386 <= 6.0.0 brak poprawki
02.10.2024

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`)

Wysoka · 6.5 CVE-2024-46977 < 5.19.0 5.19.0
02.10.2024

OpenC3 Cross-site Scripting in Login functionality (`GHSL-2024-128`) ten wpis

Średnia · 6.1 CVE-2024-43795 < 5.19.0 5.19.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację