CVE-2025-26074

Critica9.8Pubblicata il 30 giugno 2025

Orkes Conductor v3.21.11 consente agli attaccanti remoti di eseguire comandi OS arbitrari tramite l'accesso non limitato alle classi Java.

Punteggio CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-78

Le API Conductor di Orkes esposte trasformano gli script dei workflow in percorsi d’attacco con privilegi di root

CVE-2026-58138 in Orkes Conductor: RCE non autenticata via API workflow esposte, con privilegi root. Colpite versioni 3.21.21-3.30.1, fix 3.30.2.

This product uses the NVD API but is not endorsed or certified by the NVD.

La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.