CVE-2026-109403
WysokieCVSS 7.3Streszczenie
W bibliotece conductor-oss conductor do wersji 3.32.5 wykryto podatność w funkcji A2AService.getAgentCard w pliku A2AService.java, w komponencie pobierania karty agenta. Manipulacja argumentem agentUrl pozwala na atak typu server-side request forgery (SSRF), możliwy do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do dowolnych zasobów wewnętrznych, co grozi wyciekiem danych lub dostępem do usług niedostępnych z zewnątrz. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Zaktualizuj conductor-oss conductor do wersji nowszej niż 3.32.5, gdy tylko będzie dostępna, oraz ogranicz możliwość podawania dowolnych adresów URL w parametrze agentUrl. Do czasu aktualizacji rozważ walidację i whitelistowanie dozwolonych adresów.
Inne podatności w conductor-oss conductor
Zobacz wszystkie- CVE-2026-109405Wysokie
W conductor-oss conductor do wersji 3.33.0-rc10 wykryto lukę bezpieczeństwa w funkcji KafkaPublishTask.start w pliku kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. Manipulacja argumentem kafka_request.bootStrapServers prowadzi do podatności typu server-side request forgery. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
- CVE-2026-109404Średnie
Zidentyfikowano podatność w conductor-oss conductor do wersji 3.33.0-rc10. Dotyczy ona nieznanej funkcjonalności pliku AgentController.java komponentu Agentspan Agent Runtime. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), możliwej do wykorzystania zdalnie.
- CVE-2026-109402Średnie
W conductor-oss conductor 3.22.0 funkcja MCPService.listTools w pliku MCPService.java (komponent MCP Service) nieprawidłowo przetwarza argument mcpServer, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-109190Średnie
W conductor-oss conductor 3.31.2 funkcja ListApiToolsTask.start w pliku ListApiToolsTask.java (komponent API Tool Configuration) nieprawidłowo przetwarza argument specUrl, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in conductor-oss conductor up to 3.32.5. Affected by this vulnerability is the function A2AService.getAgentCard of the file ai/src/main/java/org/conductoross/conductor/ai/a2a/A2AService.java of the component Agent Card Fetching. Executing a manipulation of the argument agentUrl can lead to server-side request forgery. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS