CVE-2026-58138: Orkes Conductor 3.21.21 < 3.30.2 无需认证的 RCE（通过 GraalVM 脚本评估器） | Kitploit

CVE-2026-58138

严重已发布

Orkes Conductor 3.21.21 < 3.30.2 无需认证的 RCE（通过 GraalVM 脚本评估器）

已发布: 2026年6月30日
已更新: 2026年7月14日
分配 CNA: VulnCheck
观察到的证据: 2026年8月10日

初级CVSS

9.3/ 10严重

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS概率估计

9.3%

低 · 未来 30 天

百分位: 95.2%
型号日期: 2026年9月21日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

Orkes Conductor 3.21.21（早于 3.30.2）包含一个未经验证的远程代码执行漏洞，远程攻击者可在认证之前向工作流 API 端点提交包含恶意 JavaScript 或 Python 表达式的内联工作流定义，从而执行任意操作系统命令。攻击者可利用配置了 HostAccess.ALL 或 allowAllAccess(true) 的未沙箱化 GraalVM 评估器，通过 INLINE、LAMBDA、DO_WHILE 和 SWITCH 任务类型，借助 Java 反射或直接子进程调用来调用任意系统命令。

来源

CVE-2026-58138信息
防御性安全研究仓库，详细介绍了 CVE-2026-58138——一个通过 GraalVM 在 Conductor 中存在的未认证远程代码执行（RCE）漏洞。提供了技术分析、受影响版本、缓解步骤以及面向蓝队的检测指南。
CVE-2026-58138漏洞利用
CVE-2026-58138 - Conductor（3.21.21..<3.30.2）通过 INLINE GraalVM 求值器的未认证 RCE
CVE-2026-58138-Conductor-Unauth-RCE漏洞利用
CVE-2026-58138 — Conductor (3.21.21..<3.30.2) 未授权RCE，通过INLINE GraalVM评估器 (HostAccess.ALL)。包含实验环境与PoC，经端到端验证（root权限）。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。