CVE-2026-58138
Orkes Conductor 3.21.21 anterior a 3.30.2 contiene una vulnerabilidad de ejecución remota de código no autenticada que permite a atacantes remotos ejecutar comandos arbitrarios del SO mediante el envío de definiciones de flujo de trabajo en línea que contienen expresiones maliciosas de JavaScript o Python al endpoint de la API de flujo de trabajo antes de la autenticación. Los atacantes pueden explotar evaluadores de GraalVM sin sandbox configurados con HostAccess.ALL o allowAllAccess(true) mediante los tipos de tarea INLINE, LAMBDA, DO_WHILE y SWITCH para invocar comandos arbitrarios del sistema a través de la reflexión de Java o llamadas directas a subprocesos.
Preaviso: explotación observada
- Explotación observada desde el 27 jul 2026
- Todavía no está en el catálogo oficial de CISA
- Primer ataque observado 26 días después de la divulgación
- Confirmada por sensores, no solo por informes
Fuente: VulnCheck KEV · 4 nov 2026 3 nov 2026 2 nov 2026 1 nov 2026 31 oct 2026 30 oct 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArtículos relacionados
Una vulnerabilidad explotada de Cisco ISE desata una oleada de ataques contra canales de software confiables
Cisco ISE sufre una vulnerabilidad crítica explotada activamente. El artículo analiza también fallos en Orkes Conductor, libheif y Discourse.
Las API expuestas de Orkes Conductor convierten los scripts de workflow en vías de ataque con privilegios de root
CVE-2026-58138 en Orkes Conductor permite RCE sin autenticación mediante workflows maliciosos con privilegios root. Afecta versiones 3.21.21 a 3.30.1.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.