CVE-2026-58138: Orkes Conductor 3.21.21 < 3.30.2 Nicht authentifizierte RCE über GraalVM-Skript-Evaluatoren | Kitploit

CVE-2026-58138

KritischVeröffentlicht

Orkes Conductor 3.21.21 < 3.30.2 Nicht authentifizierte RCE über GraalVM-Skript-Evaluatoren

Veröffentlicht: 30.06.2026
Aktualisiert: 14.07.2026
CNA zuweisen: VulnCheck
Beweise beobachtet: 10.08.2026

Primäres CVSS

9,3/ 10Kritisch

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS-Wahrscheinlichkeitsschätzung

9,3 %

Niedrig · nächste 30 Tage

Perzentil: 95,2 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Orkes Conductor 3.21.21 vor 3.30.2 enthält eine nicht authentifizierte Remote-Codeausführungsschwachstelle, die es Remote-Angreifern ermöglicht, beliebige Betriebssystembefehle auszuführen, indem sie vor der Authentifizierung Inline-Workflow-Definitionen mit bösartigen JavaScript- oder Python-Ausdrücken an den Workflow-API-Endpunkt übermitteln. Angreifer können nicht in einer Sandbox ausgeführte GraalVM-Evaluatoren, die mit HostAccess.ALL oder allowAllAccess(true) konfiguriert sind, über die Aufgabentypen INLINE, LAMBDA, DO_WHILE und SWITCH ausnutzen, um beliebige Systembefehle über Java-Reflection oder direkte Subprozessaufrufe aufzurufen.

Quellen

CVE-2026-58138Informativ
# Repository für defensive Sicherheitsforschung zu CVE-2026-58138 Repository für defensive Sicherheitsforschung, das CVE-2026-58138 beschreibt, eine nicht authentifizierte RCE in Conductor über GraalVM. Bietet technische Analyse, betroffene Versionen, Maßnahmen zur Schadensbegrenzung und Erkennungsleitfäden für Blue Teams.
CVE-2026-58138Exploit
CVE-2026-58138 - Conductor (3.21.21..<3.30.2) nicht authentifizierte RCE über INLINE GraalVM Evaluator

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.