CVE-2026-109190
ŚrednieCVSS 6.3Streszczenie
W conductor-oss conductor 3.31.2 funkcja ListApiToolsTask.start w pliku ListApiToolsTask.java (komponent API Tool Configuration) nieprawidłowo przetwarza argument specUrl, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wymusić na serwerze wykonanie żądań do dowolnych zasobów sieciowych, co może skutkować dostępem do usług wewnętrznych lub wyciekiem danych. Publicznie dostępny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Należy zaktualizować conductor-oss conductor do wersji, w której podatność została naprawiona, oraz ograniczyć możliwość manipulacji argumentem specUrl. Do czasu aktualizacji zaleca się weryfikację i ograniczenie dostępu do funkcji API Tool Configuration.
Inne podatności w conductor-oss conductor
Zobacz wszystkie- CVE-2026-109405Wysokie
W conductor-oss conductor do wersji 3.33.0-rc10 wykryto lukę bezpieczeństwa w funkcji KafkaPublishTask.start w pliku kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. Manipulacja argumentem kafka_request.bootStrapServers prowadzi do podatności typu server-side request forgery. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
- CVE-2026-109404Średnie
Zidentyfikowano podatność w conductor-oss conductor do wersji 3.33.0-rc10. Dotyczy ona nieznanej funkcjonalności pliku AgentController.java komponentu Agentspan Agent Runtime. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), możliwej do wykorzystania zdalnie.
- CVE-2026-109403Wysokie
W bibliotece conductor-oss conductor do wersji 3.32.5 wykryto podatność w funkcji A2AService.getAgentCard w pliku A2AService.java, w komponencie pobierania karty agenta. Manipulacja argumentem agentUrl pozwala na atak typu server-side request forgery (SSRF), możliwy do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-109402Średnie
W conductor-oss conductor 3.22.0 funkcja MCPService.listTools w pliku MCPService.java (komponent MCP Service) nieprawidłowo przetwarza argument mcpServer, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in conductor-oss conductor 3.31.2. This affects the function ListApiToolsTask.start of the file ListApiToolsTask.java of the component API Tool Configuration. The manipulation of the argument specUrl leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS