CVE-2026-58138

Nome do Software Vulnerável e Versões Afetadas Orkes Conductor versões 3.21.21 até 3.30.1

Description Existe um problema de execução remota de código não autenticada que permite que atacantes remotos executem comandos arbitrários do sistema operacional. Isso é feito enviando definições de fluxo de trabalho inline contendo expressões maliciosas de JavaScript ou Python para o endpoint da API de fluxo de trabalho antes da autenticação. O problema afeta avaliadores GraalVM não isolados configurados com HostAccess.ALL ou allowAllAccess(true) através dos tipos de tarefa INLINE, LAMBDA, DO WHILE e SWITCH, permitindo a invocação de comandos do sistema via reflexão Java ou chamadas diretas de subprocessos. Esta falha tem sido explorada ativamente, com relatos de milhares de tentativas bloqueadas. Em algumas configurações, o processo pode ser executado com privilégios de root.

Recommendations Atualize para a versão 3.30.2 ou posterior. Coloque a API de fluxo de trabalho permanentemente atrás de um mecanismo de autenticação. Restrinja o acesso de rede à API de fluxo de trabalho e interfaces de administração apenas a endereços IP confiáveis. Monitore a criação de processos inesperados ou conexões externas originadas do servidor.