CVE-2026-109405
WysokieCVSS 7.3Streszczenie
W conductor-oss conductor do wersji 3.33.0-rc10 wykryto lukę bezpieczeństwa w funkcji KafkaPublishTask.start w pliku kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. Manipulacja argumentem kafka_request.bootStrapServers prowadzi do podatności typu server-side request forgery. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
Ocena ryzyka
Organizacja korzystająca z conductor-oss conductor może być narażona na wymuszenie żądań do zasobów wewnętrznych przez zdalnego atakującego. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny i może być łatwo wykorzystany.
Rekomendacja
Zaktualizuj conductor-oss conductor do wersji nowszej niż 3.33.0-rc10 zawierającej poprawkę i ogranicz możliwość manipulacji argumentem kafka_request.bootStrapServers przez niezaufanych użytkowników.
Inne podatności w conductor-oss conductor
Zobacz wszystkie- CVE-2026-109404Średnie
Zidentyfikowano podatność w conductor-oss conductor do wersji 3.33.0-rc10. Dotyczy ona nieznanej funkcjonalności pliku AgentController.java komponentu Agentspan Agent Runtime. Manipulacja prowadzi do podatności typu server-side request forgery (SSRF), możliwej do wykorzystania zdalnie.
- CVE-2026-109403Wysokie
W bibliotece conductor-oss conductor do wersji 3.32.5 wykryto podatność w funkcji A2AService.getAgentCard w pliku A2AService.java, w komponencie pobierania karty agenta. Manipulacja argumentem agentUrl pozwala na atak typu server-side request forgery (SSRF), możliwy do przeprowadzenia zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-109402Średnie
W conductor-oss conductor 3.22.0 funkcja MCPService.listTools w pliku MCPService.java (komponent MCP Service) nieprawidłowo przetwarza argument mcpServer, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-109190Średnie
W conductor-oss conductor 3.31.2 funkcja ListApiToolsTask.start w pliku ListApiToolsTask.java (komponent API Tool Configuration) nieprawidłowo przetwarza argument specUrl, co prowadzi do podatności Server-Side Request Forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in conductor-oss conductor up to 3.33.0-rc10. This affects the function KafkaPublishTask.start of the file kafka/src/main/java/com/netflix/conductor/contribs/tasks/kafka/KafkaPublishTask.java. The manipulation of the argument kafka_request.bootStrapServers results in server-side request forgery. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS