CVE-2026-58138
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Orkes Conductor w wersjach od 3.21.21 do 3.30.2 zawiera nieuwierzytelnioną podatność na zdalne wykonanie kodu. Atakujący może wysłać złośliwą definicję przepływu pracy z wyrażeniami JavaScript lub Python do API przed uwierzytelnieniem, co pozwala na wykonanie dowolnych poleceń systemowych.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem, wykonać dowolne polecenia, zainstalować złośliwe oprogramowanie lub wykraść dane.
Rekomendacja
Należy natychmiast zaktualizować Orkes Conductor do wersji 3.30.2 lub nowszej. Dodatkowo, wyłącz niebezpieczne typy zadań (INLINE, LAMBDA, DO_WHILE, SWITCH) lub skonfiguruj sandboxing dla GraalVM.
Oryginalny opis (angielski, źródło NVD)
Orkes Conductor 3.21.21 before 3.30.2 contains an unauthenticated remote code execution vulnerability that allows remote attackers to execute arbitrary OS commands by submitting inline workflow definitions containing malicious JavaScript or Python expressions to the workflow API endpoint prior to authentication. Attackers can exploit unsandboxed GraalVM evaluators configured with HostAccess.ALL or allowAllAccess(true) through INLINE, LAMBDA, DO_WHILE, and SWITCH task types to invoke arbitrary system commands via Java reflection or direct subprocess calls.