Hoch

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`)

Veröffentlicht: 02.10.2024
Aktualisiert: 11.10.2026 11:20

Summary

A path traversal vulnerability inside of LocalMode's open_local_file method allows an authenticated user with adequate permissions to download any .txt via the ScreensController#show on the web server COSMOS is running on (depending on the file permissions).

Note: This CVE affects all OpenC3 COSMOS Editions

Impact

This issue may lead to Information Disclosure.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	openc3	< 5.19.0	5.19.0

Verweise

CVSS-Wert 6.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-22
Plattform: Python (PyPI)
Paket: openc3
Veröffentlicht: 02.10.2024
Aktualisiert: 11.10.2026 11:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2024-101 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-8jxr-mccc-mwg8 - CC BY 4.0

Schwachstellenhistorie: openc3

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (15) im Archiv

Einträge insgesamt: 15
Erste → letzte: 10.2024 05.2026
Ohne Fix: 7
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 5
Hoch 5
Mittel 5

Veröffentlichungen pro Jahr

2024: 3
2025: 7
2026: 5

04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Pyt

Hoch · 8.1 CVE-2026-42088 < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From version 6.7.0 to before version 7.0.0-rc3, a SQL injection vulnerability ex

Kritisch · 9.6 CVE-2026-42087 >= 6.7.0, < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to versions 6.10.5 and 7.0.0-rc3, the OpenC3 password change functionality

Hoch · 8.1 CVE-2026-42084 < 6.10.5 6.10.5
13.06.2025

Weak password requirements in OpenC3 COSMOS v6.0.0 allow attackers to bypass authentication via a brute force attack.

Kritisch · 9.8 CVE-2025-28389 <= 6.0.0 keine Korrektur
13.06.2025

An issue in the /script-api/scripts/ endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Kritisch · 9.1 CVE-2025-28384 <= 6.0.0 keine Korrektur
13.06.2025

An issue in the openc3-api/tables endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Hoch · 7.5 CVE-2025-28382 <= 6.0.0 keine Korrektur
13.06.2025

A credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all containers.

Hoch · 7.5 CVE-2025-28381 <= 6.0.0 keine Korrektur
13.06.2025

OpenC3 COSMOS before v6.0.2 was discovered to contain hardcoded credentials for the Service Account.

Kritisch · 9.8 CVE-2025-28388 <= 6.0.0 keine Korrektur
13.06.2025

A remote code execution (RCE) vulnerability in the Plugin Management component of OpenC3 COSMOS v6.0.0 allows attackers to execute arbitrary code via uploading a crafted .txt file.

Kritisch · 9.8 CVE-2025-28386 <= 6.0.0 keine Korrektur
02.10.2024

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`) dieser Eintrag

Hoch · 6.5 CVE-2024-46977 < 5.19.0 5.19.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden