PT-2026-53941 · Orkes · Orkes Conductor

Seqradev · Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58138

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Orkes Conductor versões 3.21.21 até 3.30.1

Description Um problema de execução remota de código não autenticada existe, permitindo que atacantes remotos executem comandos arbitrários do sistema operacional. Isso ocorre quando expressões maliciosas de JavaScript ou Python são enviadas para o endpoint da API de workflow antes da autenticação. Atacantes podem utilizar avaliadores GraalVM não isolados (unsandboxed)—configurados com HostAccess.ALL ou allowAllAccess(true)—através dos tipos de tarefa INLINE, LAMBDA, DO WHILE e SWITCH para invocar comandos do sistema via reflexão Java ou chamadas diretas de subprocessos.

Recommendations Atualize o Orkes Conductor para a versão 3.30.2 ou posterior.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-58138

Produtos afetados

Orkes Conductor

Referências · 7

• https://github.com/conductor-oss/conductor/commit/87a7d96aabbb706d6e84f812b93da5165028d18f · Correção
• https://github.com/conductor-oss/conductor/releases/tag/v3.30.2 · Nota
• https://github.com/conductor-oss/conductor/commit/c691e35e768caeb802c9f06ecdd9674c80081af1 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-58138 · Nota de Segurança
• https://vulncheck.com/advisories/orkes-conductor-unauthenticated-rce-via-graalvm-script-evaluators · Nota
• https://twitter.com/seqradev/status/2072083547440005422 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2025-26074 · Nota de Segurança