CVE-2026-109432
KrytyczneCVSS 9.8Streszczenie
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia systemowe jako użytkownik usługi silnika Camunda, co prowadzi do przejęcia serwera i dostępu do danych. Ryzyko jest wysokie w środowiskach z wieloma użytkownikami.
Rekomendacja
Zaktualizuj Camunda do wersji 7.24.14 lub 7.23.17 (lub nowszej). Do czasu aktualizacji ogranicz zaufanie do uwierzytelnionych użytkowników i rozważ wyłączenie funkcji wyrażeń adhoc, jeśli to możliwe.
Inne podatności w Camunda
Zobacz wszystkie- CVE-2026-109431Wysokie
Camunda 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest, która pozwala uwierzytelnionym atakującym bez przyznanych uprawnień na dostęp do komentarzy i załączników zadań poprzez wywołanie pojedynczych punktów końcowych odczytu i usuwania, które nie mają filtrów autoryzacji wymuszanych na odpowiadających im punktach końcowych listy. Atakujący mogą wykorzystać metody TaskAttachmentResourceImpl i TaskCommentResourceImpl, takie jak getAttachment, getAttachmentData, deleteAttachment i getComment, używając tylko znanego identyfikatora obiektu, aby odczytać, pobrać lub trwale usunąć załączniki i komentarze zadań.
- CVE-2026-77226Wysokie
Camunda 7.24.0 przed 7.24.15 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym pierwszego uruchomienia aplikacji Admin, gdzie SetupResource błędnie ustala dostępność konfiguracji, licząc tylko bezpośrednich członków grupy camunda-admin. Nieuwierzytelniony zdalny atakujący może wykorzystać tę wadę logiki, aby wywołać punkt końcowy tworzenia użytkownika i utworzyć nowe konto administratora, gdy grupa camunda-admin jest pusta, ale system jest w pełni zarządzany.
Oryginalny opis (angielski, źródło NVD)
Camunda 7.24.0 before 7.24.14 and 7.23.0 before 7.23.17 contains an expression injection vulnerability where AdhocQueryValidator.validate() fails to check sub-query expression maps within the orQueries field exposed by TaskQueryDto, allowing authenticated users to bypass the enableExpressionsInAdhocQueries restriction. Attackers can supply a malicious JUEL expression such as dueAfterExpression inside an orQueries entry to achieve arbitrary Java reflection and invoke java.lang.Runtime.exec, resulting in operating-system command execution as the engine service user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS