CVE-2026-109404
ŚrednieCVSS 5.3Streszczenie
Zidentyfikowano podatność w conductor-oss conductor do wersji 3.33.0-rc10. Dotyczy ona nieznanej funkcjonalności pliku AgentController.java komponentu Agentspan Agent Runtime. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), możliwej do wykorzystania zdalnie.
Ocena ryzyka
SSRF może pozwolić atakującemu na wysyłanie żądań z serwera do zasobów wewnętrznych, potencjalnie ujawniając dane lub umożliwiając dalsze ataki w sieci wewnętrznej.
Rekomendacja
Zaktualizuj conductor-oss conductor do wersji nowszej niż 3.33.0-rc10, gdy tylko poprawka będzie dostępna. Do tego czasu ogranicz dostęp sieciowy do komponentu Agentspan Agent Runtime.
Inne podatności w conductor-oss conductor
Zobacz wszystkie- CVE-2026-109405Wysokie
W conductor-oss conductor do wersji 3.33.0-rc10 wykryto lukę bezpieczeństwa w funkcji KafkaPublishTask.start w pliku kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. Manipulacja argumentem kafka_request.bootStrapServers prowadzi do podatności typu server-side request forgery. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
- CVE-2026-109403Wysokie
W bibliotece conductor-oss conductor do wersji 3.32.5 wykryto podatność w funkcji A2AService.getAgentCard w pliku A2AService.java, w komponencie pobierania karty agenta. Manipulacja argumentem agentUrl pozwala na atak typu server-side request forgery (SSRF), możliwy do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-109402Średnie
W conductor-oss conductor 3.22.0 funkcja MCPService.listTools w pliku MCPService.java (komponent MCP Service) nieprawidłowo przetwarza argument mcpServer, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-109190Średnie
W conductor-oss conductor 3.31.2 funkcja ListApiToolsTask.start w pliku ListApiToolsTask.java (komponent API Tool Configuration) nieprawidłowo przetwarza argument specUrl, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in conductor-oss conductor up to 3.33.0-rc10. Affected by this issue is some unknown functionality of the file AgentController.java of the component Agentspan Agent Runtime. The manipulation leads to server-side request forgery. Remote exploitation of the attack is possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS