CVE-2026-58138

CVE-2026-58138 betrifft Orkes Conductor in Versionen vor 3.30.2 und ermöglicht eine nicht authentifizierte Remote Code Execution (RCE). Angreifer können beliebige Betriebssystembefehle ausführen, indem sie bösartige JavaScript- oder Python-Ausdrücke in Inline-Workflow-Definitionen über den Workflow-API-Endpunkt vor der Authentifizierung übermitteln. Dies wird durch unsandboxed GraalVM-Evaluatoren ermöglicht, die mit HostAccess.ALL oder allowAllAccess(true) konfiguriert sind und über INLINE, LAMBDA, DO_WHILE und SWITCH Task-Typen Java Reflection oder direkte Subprozessaufrufe nutzen können.

Die Schwachstelle wird mit einem CVSS-Score von 9.8 als KRITISCH eingestuft, was auf ein sehr hohes Risiko hinweist. Die Exploit-Wahrscheinlichkeit (EPSS) liegt bei 9%, was bedeutet, dass eine Ausnutzung zwar nicht extrem hoch, aber dennoch signifikant ist. Da die Schwachstelle nicht in CISA KEV gelistet ist, gibt es derzeit keine Hinweise auf eine aktive Ausnutzung in der Wildnis, aber das hohe CVSS-Rating erfordert dennoch sofortige Aufmerksamkeit.

Security-Teams sollten umgehend prüfen, ob Orkes Conductor in den betroffenen Versionen eingesetzt wird. Eine Priorisierung des Updates auf Version 3.30.2 oder höher ist dringend erforderlich, um das Risiko einer nicht authentifizierten Remote Code Execution zu eliminieren. Falls ein sofortiges Update nicht möglich ist, sollten temporäre Mitigationen wie die Einschränkung des Zugriffs auf den Workflow-API-Endpunkt in Betracht gezogen werden, um die Angriffsfläche zu reduzieren.