PT-2026-30893 · Emissary · Emissary

Brennantm · Publicado 2026-04-07 · Atualizado 2026-04-08 · CVE-2026-35581

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Emissary versões anteriores a 8.39.0

Description Emissary é um motor de fluxo de trabalho baseado em P2P e orientado a dados. Antes da versão 8.39.0, a classe utilitária Executrix construía comandos de shell concatenando valores derivados da configuração – incluindo o parâmetro PLACE NAME – com sanitização insuficiente. Apenas espaços eram substituídos por sublinhados, permitindo que metacaracteres de shell (;, |, $, `, (, ), etc.) passassem para a execução do comando /bin/sh -c.

Recommendations Atualize para a versão 8.39.0 ou posterior.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-35581

GHSA-6C37-7W4P-JG9V

Produtos afetados

Emissary

Referências · 8

• https://github.com/NationalSecurityAgency/emissary · Nota
• https://github.com/NationalSecurityAgency/emissary/pull/1290 · Nota
• https://github.com/NationalSecurityAgency/emissary/security/advisories/GHSA-6c37-7w4p-jg9v · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2041570792236790139 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2041570005243044172 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35581 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6c37-7w4p-jg9v · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit