CVE-2026-46562
Publiée le 2026-07-16 · Dernière modification le 2026-07-20
Les frameworks de contrôle de mission Yamcs antérieurs à la version 5.12.7 sont vulnérables à l'exécution de code à distance via le moteur JavaScript utilisé pour les algorithmes. Un attaquant peut envoyer une requête malveillante au point de terminaison `updateAlgorithm` pour exécuter des commandes arbitraires du système d'exploitation avec les privilèges du processus Yamcs. Étant donné que la configuration par défaut autorise l'accès invité non authentifié avec des permissions de superutilisateur, cette faille peut être exploitée via le réseau sans aucun identifiant ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Yamcs is a mission control framework. Prior to 5.12.7, the Nashorn ScriptEngine used to evaluate user-supplied JavaScript algorithm text in yamcs-core/src/main/java/org/yamcs/algorithms/ScriptAlgorithmExecutorFactory.java was constructed without a ClassFilter, so a user with the ChangeMissionDatabase privilege could override an algorithm through the MdbOverrideApi.updateAlgorithm endpoint and supply JavaScript that reaches arbitrary Java classes (for example Java.type("java.lang.Runtime").getRuntime().exec(...)) to execute arbitrary OS commands as the Yamcs process; in the default configuration with no security.yaml the built-in guest user has superuser=true, making the issue reachable without authentication. This issue is fixed in versions 5.12.7 and 5.13.0, which disable algorithm editing by default.