PT-2025-27453 · Orkes · Orkes Conductor

Mrcnry · Publicado 2025-06-30 · Atualizado 2025-07-16 · CVE-2025-26074

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: Orkes Conductor versão 3.21.11

Descrição: A vulnerabilidade permite que atacantes remotos executem comandos arbitrários do sistema operacional através do acesso irrestrito a classes Java. Isso pode levar à execução remota de código no Orkes Conductor.

Recomendações: Atualize para a versão 3.21.13 ou posterior para mitigar riscos e proteger seus sistemas.

Correção

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2025-26074

GHSA-8GQP-HR9G-PG62

Produtos afetados

Orkes Conductor

Referências · 13

• https://github.com/conductor-oss/conductor · Nota
• https://github.com/conductor-oss/conductor/blob/main/core/src/main/java/com/netflix/conductor/core/events/ScriptEvaluator.java · Nota
• https://github.com/conductor-oss/conductor/commit/e9816501df1e364a3d39d7fe37d6e167c40eaa1b · Nota
• https://twitter.com/CheckmarxZero/status/1945474306948935795 · Publicação no Twitter
• https://t.me/cvenotify/127144 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1939782175324275171 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1939734443733696559 · Publicação no Twitter
• https://t.me/cvetracker/27443 · Publicação no Telegram
• https://twitter.com/vulert_official/status/1939931753746944360 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-26074 · Aviso do Fabricante
• https://medium.com/@mrcnry/cve-2025-26074-remote-code-execution-in-conductor-oss-via-inline-javascript-injection-5ce3cb651cfb · Nota
• https://osv.dev/vulnerability/GHSA-8gqp-hr9g-pg62 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-26074 · Nota de Segurança