Mittel

OpenC3 stores passwords in clear text (`GHSL-2024-129`)

Veröffentlicht: 02.10.2024
Aktualisiert: 11.10.2026 11:20

Summary

OpenC3 COSMOS stores the password of a user unencrypted in the LocalStorage of a web browser. This makes the user password susceptible to exfiltration via Cross-site scripting (see GHSL-2024-128).

Note: This CVE only affects Open Source edition, and not OpenC3 COSMOS Enterprise Edition

Impact

This issue may lead to Information Disclosure.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	@openc3/tool-common	< 5.19.0	5.19.0
Python (PyPI)	openc3	< 5.19.0	5.19.0

Verweise

CVSS-Wert 5.9/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-312, CWE-522
Plattform: npm, Python (PyPI)
Paket: @openc3/tool-common, openc3
Veröffentlicht: 02.10.2024
Aktualisiert: 11.10.2026 11:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2024-121 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-4xqv-47rm-37mm - CC BY 4.0

Schwachstellenhistorie: openc3

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (15) im Archiv

Einträge insgesamt: 15
Erste → letzte: 10.2024 05.2026
Ohne Fix: 7
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 5
Hoch 5
Mittel 5

Veröffentlichungen pro Jahr

2024: 3
2025: 7
2026: 5

04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to version 7.0.0-rc3, the Script Runner widget allows users to execute Pyt

Hoch · 8.1 CVE-2026-42088 < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From version 6.7.0 to before version 7.0.0-rc3, a SQL injection vulnerability ex

Kritisch · 9.6 CVE-2026-42087 >= 6.7.0, < 7.0.0 7.0.0
04.05.2026

OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. Prior to versions 6.10.5 and 7.0.0-rc3, the OpenC3 password change functionality

Hoch · 8.1 CVE-2026-42084 < 6.10.5 6.10.5
13.06.2025

Weak password requirements in OpenC3 COSMOS v6.0.0 allow attackers to bypass authentication via a brute force attack.

Kritisch · 9.8 CVE-2025-28389 <= 6.0.0 keine Korrektur
13.06.2025

An issue in the /script-api/scripts/ endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Kritisch · 9.1 CVE-2025-28384 <= 6.0.0 keine Korrektur
13.06.2025

An issue in the openc3-api/tables endpoint of OpenC3 COSMOS before 6.1.0 allows attackers to execute a directory traversal.

Hoch · 7.5 CVE-2025-28382 <= 6.0.0 keine Korrektur
13.06.2025

A credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all containers.

Hoch · 7.5 CVE-2025-28381 <= 6.0.0 keine Korrektur
13.06.2025

OpenC3 COSMOS before v6.0.2 was discovered to contain hardcoded credentials for the Service Account.

Kritisch · 9.8 CVE-2025-28388 <= 6.0.0 keine Korrektur
13.06.2025

A remote code execution (RCE) vulnerability in the Plugin Management component of OpenC3 COSMOS v6.0.0 allows attackers to execute arbitrary code via uploading a crafted .txt file.

Kritisch · 9.8 CVE-2025-28386 <= 6.0.0 keine Korrektur
02.10.2024

OpenC3 Path Traversal via screen controller (`GHSL-2024-127`)

Hoch · 6.5 CVE-2024-46977 < 5.19.0 5.19.0
02.10.2024

OpenC3 stores passwords in clear text (`GHSL-2024-129`) dieser Eintrag

Mittel · 5.9 CVE-2024-47529 < 5.19.0 5.19.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden