Uma vulnerabilidade crítica de execução de código remoto não autenticada (CVE-2026-58138, CVSS v3.1: 9.8 / CVSS v4: 9.3) está sendo ativamente explorada em Orkes Conductor. A falha afeta as versões 3.21.21 a 3.30.2 do produto, permitindo que atacantes executem comandos arbitrários do sistema operacional.
Detalhes Técnicos
A vulnerabilidade permite execução de código remoto não autenticada por meio da submissão de definições de fluxo de trabalho maliciosas contendo expressões JavaScript ou Python ao endpoint de API de fluxo de trabalho.
Atacantes podem explorar avaliadores GraalVM não isolados configurados com HostAccess.ALL ou allowAllAccess(true) por meio de tipos de tarefas INLINE, LAMBDA, DO_WHILE e SWITCH para invocar comandos do sistema arbitrário via reflexão Java ou chamadas de subprocesso direto.
Ações Recomendadas
Atualizar Orkes Conductor para a versão 3.30.2 ou superior.
Restringir o acesso ao endpoint de API de fluxo de trabalho.
Monitorar logs de sistema para detectar atividades suspeitas.
A CVE-2026-58138 foi publicada em 30 de junho de 2026 e é considerada crítica, com um CVSS v3.1 de 9.8.
