CVE-2026-109402
ŚrednieCVSS 6.3Streszczenie
W conductor-oss conductor 3.22.0 funkcja MCPService.listTools w pliku MCPService.java (komponent MCP Service) nieprawidłowo przetwarza argument mcpServer, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wymusić na serwerze wykonanie żądań do dowolnych zasobów sieciowych, co może prowadzić do dostępu do usług wewnętrznych lub wycieku danych. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania podatności.
Rekomendacja
Należy zaktualizować conductor-oss conductor do wersji, w której podatność została naprawiona, oraz ograniczyć możliwość manipulacji argumentem mcpServer. Do czasu aktualizacji zaleca się weryfikację i ograniczenie dostępu do funkcji MCP Service.
Inne podatności w conductor-oss conductor
Zobacz wszystkie- CVE-2026-109405Wysokie
W conductor-oss conductor do wersji 3.33.0-rc10 wykryto lukę bezpieczeństwa w funkcji KafkaPublishTask.start w pliku kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. Manipulacja argumentem kafka_request.bootStrapServers prowadzi do podatności typu server-side request forgery. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
- CVE-2026-109404Średnie
Zidentyfikowano podatność w conductor-oss conductor do wersji 3.33.0-rc10. Dotyczy ona nieznanej funkcjonalności pliku AgentController.java komponentu Agentspan Agent Runtime. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), możliwej do wykorzystania zdalnie.
- CVE-2026-109403Wysokie
W bibliotece conductor-oss conductor do wersji 3.32.5 wykryto podatność w funkcji A2AService.getAgentCard w pliku A2AService.java, w komponencie pobierania karty agenta. Manipulacja argumentem agentUrl pozwala na atak typu server-side request forgery (SSRF), możliwy do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-109190Średnie
W conductor-oss conductor 3.31.2 funkcja ListApiToolsTask.start w pliku ListApiToolsTask.java (komponent API Tool Configuration) nieprawidłowo przetwarza argument specUrl, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in conductor-oss conductor 3.22.0. Affected is the function MCPService.listTools of the file ai/src/main/java/org/conductoross/conductor/ai/mcp/MCPService.java of the component MCP Service. Performing a manipulation of the argument mcpServer results in server-side request forgery. The attack may be initiated remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS