CVE-2026-58138-Conductor-Unauth-RCE

CVE-2026-58138 — Conductor 未认证 RCE via INLINE GraalVM 评估器 Conductor（OSS / Orkes）3.21.21 … 至 3.30.2 在 INLINE（以及 LAMBDA / DOWHILE / SWITCH）任务中评估用户提供的 JavaScript，使用的是具有完全主机访问权限 （HostAccess.ALL）的 GraalVM 上下文。该脚本能够反射访问 java.lang.Runtime 并执行操作系统命令。社区 API 默认无认证 ，因此提交包含此类任务的工作流即为未认证的远程代码执行。...