PT-2026-53941
CVE-2026-58138
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-09-30
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Orkes Conductor من الإصدار 3.21.21 حتى 3.30.1
الوصف
تسمح ثغرة في تنفيذ التعليمات البرمجية عن بُعد دون مصادقة للمهاجمين عن بُعد بتنفيذ أوامر تعسفية في نظام التشغيل عند إرسال تعريفات سير العمل المضمنة (inline) التي تحتوي على تعبيرات خبيثة بلغة JavaScript أو Python إلى نقطة نهاية واجهة برمجة تطبيقات (API) سير العمل. يحدث هذا عندما يتم تكوين مُقيِّمي GraalVM غير المعزولين باستخدام
HostAccess.ALL أو allowAllAccess(true) عبر أنواع المهام INLINE وLAMBDA وDO WHILE وSWITCH، مما يسمح باستدعاء أوامر النظام عبر انعكاس Java أو المكالمات المباشرة للعمليات الفرعية.التوصيات
التحديث إلى الإصدار 3.30.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾