cve-2026-58138

CVE-2026-58138: Conductor 未授权远程代码执行 用于复现 CVE-2026-58138 的工具包，这是一个在 Conductor 中的 CVSS 9.8 代码注入漏洞。它包含了 OpenTaint 规则和 GraalVM 近似规则、独立的规则测试、扫描结果以及一个可用的利用程序。 阅读案例研究 打开交互式 HTML 报告 查看附带的 SARIF 文件 获取 OpenTaint 扫描针对 Conductor v3.23.0，报告了两条从未授权工作流输入到完全主机访问的 GraalVM 评估器的发现。每条发现包含四个 HTTP 入口点流程：...

CVE-2026-58138

CVE-2026-58138 — GraalVM Evaluator を介した Conductor の未認証 RCE -critical 要約: Orkes/OSS Conductor（バージョン 3.21.21 から 3.30.2）は、INLINE タスクでユーザーが指定した JavaScript を、完全なホストアクセス （HostAccess.ALL）を許可した GraalVM コンテキストで評価します。コミュニティ API はデフォルトで認証がないため、未認証のユーザーが悪意のあるワークフローを送信し、バインドされた JavaScript オブジェクトから...

CVE-2026-58138-Conductor-Unauth-RCE

CVE-2026-58138 — Conductor の未認証 RCE（INLINE GraalVM 評価機能経由） Conductor OSS / Orkes3.21.21 … before 3.30.2 は、GraalVM コンテキスト（完全なホストアクセス （HostAccess.ALL）で構築）を使用して、INLINE（および LAMBDA / DOWHILE / SWITCH）タスク内のユーザー提供の JavaScript を評価します。スクリプトは java.lang.Runtime までリフレクションし、OS コマンドを実行します。コミュニティ API はデフォルトで認証が...

CVE-2026-58138

🚨 CVE-2026-58138 — 未认证远程代码执行 🔥 Conductor 中的严重未认证远程代码执行漏洞 受影响版本：3.21.21 → 3.30.2 📌 概述 CVE-2026-58138 是一个影响 Conductor / Orkes Conductor 的严重未认证远程代码执行（RCE）漏洞。 该漏洞存在于应用程序对通过 GraalVM 评估的用户可控脚本表达式的处理中。不安全的评估器配置可能会将主机功能暴露给攻击者控制的表达式。 在易...