CVE-2026-58138
Orkes Conductor 3.21.21 vor 3.30.2 enthält eine unauthentifizierte Sicherheitslücke zur Remotecodeausführung, die es entfernten Angreifern ermöglicht, beliebige OS-Befehle auszuführen, indem sie vor der Authentifizierung Inline-Workflow-Definitionen mit bösartigen JavaScript- oder Python-Ausdrücken an den Workflow-API-Endpunkt übermitteln. Angreifer können ungesicherte GraalVM-Evaluatoren, die mit HostAccess.ALL oder allowAllAccess(true) konfiguriert sind, über die Task-Typen INLINE, LAMBDA, DO_WHILE und SWITCH ausnutzen, um beliebige Systembefehle mittels Java-Reflection oder direkten Subprozessaufrufen aufzurufen.
Frühwarnung: Ausnutzung beobachtet
- Ausnutzung beobachtet seit dem 27.07.2026
- Noch nicht im offiziellen CISA-Katalog
- Erster Angriff 26 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Quelle: VulnCheck KEV · 04.11.2026 03.11.2026 02.11.2026 01.11.2026 31.10.2026 30.10.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HVerwandte Artikel
Ausgenutzte Cisco-ISE-Schwachstelle löst Angriffswelle auf vertrauenswürdige Softwarekanäle aus
CVE-2026-76460 in Cisco ISE wird aktiv ausgenutzt. Der Artikel erläutert Risiken, weitere RCE-Lücken und wichtige Schutzmaßnahmen.
Offen zugängliche Orkes-Conductor-APIs machen Workflow-Skripte zu Angriffspfaden mit Root-Rechten
Kritische Conductor-Lücke CVE-2026-58138 erlaubt RCE ohne Login über Workflow-API. Betroffen 3.21.21 bis 3.30.1, Fix in 3.30.2.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.