CVE-2026-58138
Orkes Conductor 3.21.21 antérieur à 3.30.2 contient une vulnérabilité d’exécution de code à distance non authentifiée qui permet à des attaquants distants d’exécuter des commandes arbitraires du système d’exploitation en soumettant des définitions de workflow inline contenant des expressions JavaScript ou Python malveillantes au point de terminaison de l’API de workflow avant l’authentification. Les attaquants peuvent exploiter des évaluateurs GraalVM non sandboxés configurés avec HostAccess.ALL ou allowAllAccess(true) via les types de tâches INLINE, LAMBDA, DO_WHILE et SWITCH afin d’invoquer des commandes système arbitraires par réflexion Java ou par des appels directs à des sous-processus.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 27 juil. 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 26 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 4 nov. 2026 3 nov. 2026 2 nov. 2026 1 nov. 2026 31 oct. 2026 30 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HArticles liés
Une faille Cisco ISE exploitée déclenche une vague d’attaques contre des canaux logiciels de confiance
La faille critique Cisco ISE CVE-2026-76460 est exploitée, avec d’autres risques touchant Orkes Conductor, libheif et les plug-ins d’IA.
Les API Orkes Conductor exposées transforment les scripts de workflow en vecteurs d’attaque au niveau root
Faille CVE-2026-58138 dans Orkes Conductor permet exécution code à distance sans authentification via workflows malveillants. Versions et correctif.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.