CVE-2026-58138: Orkes Conductor: injeção de código não autenticada com RCE via avaliadores GraalVM

Visão geral

O registro descreve uma falha de execução remota de código não autenticada no Orkes Conductor, classificada como injeção de código (CWE-94). Segundo a descrição, definições de workflow inline enviadas à API de workflow antes da autenticação podem conter expressões JavaScript ou Python avaliadas por avaliadores de script GraalVM sem sandbox.

Impacto

Segundo a descrição, um atacante remoto poderia executar comandos arbitrários do sistema operacional no servidor afetado.
A pontuação CVSS 3.1 base é 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, baixa complexidade, ausência de privilégios e nenhuma interação do usuário.
O CNA também informa uma pontuação CVSS 4.0 base de 9.3.

Produtos e versões afetados

A descrição indica que o Orkes Conductor 3.21.21 antes da 3.30.2 é afetado.
A lista estruturada de produtos afetados do registro está vazia, por isso a faixa exata deve ser confirmada no aviso do fornecedor e nas notas de versão.
O registro referencia uma release e commits no repositório conductor-oss, que são bons pontos de partida para verificar a versão.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA.
Não há exploração confirmada nas fontes consultadas para esta análise.
A probabilidade EPSS é 0.14687, com percentil de 0.96607, datada de 2026-10-13. Trata-se de uma estimativa estatística e não é evidência de exploração.

Correção e mitigação

Atualize o Orkes Conductor para a versão 3.30.2 ou posterior, já que a descrição define a 3.30.2 como limite superior da faixa afetada. Confirme na página de release indicada.
Restrinja o acesso à API de workflow para que ela não seja acessível a redes não confiáveis até a aplicação da correção.
Revise qualquer configuração de avaliador GraalVM que conceda acesso amplo ao host e siga a orientação do fornecedor para alterá-la.
Consulte o aviso da VulnCheck para a descrição do problema.

Orientação para detecção

Registre e revise submissões de definições de workflow sem autenticação, especialmente as que usam os tipos de tarefa INLINE, LAMBDA, DO_WHILE ou SWITCH.
Gere alertas para processos filhos inesperados iniciados pelo processo de serviço do Conductor.
Monitore conexões de saída ou alterações de arquivos inesperadas originadas do runtime do Conductor.

Limitações das informações disponíveis

O registro não tem dados estruturados de versões afetadas ou corrigidas, por isso os limites de versão dependem do texto da descrição.
O registro não inclui o texto completo do aviso do fornecedor, portanto detalhes técnicos além da descrição são desconhecidos.
Uma referência do registro aponta para outro identificador CVE (CVE-2025-26074), e sua relação com esta entrada não é explicada.
O status no CNA está como Deferred, então os detalhes podem mudar.

Perguntas frequentes

A CVE-2026-58138 exige autenticação para ser explorada?

Segundo a descrição, a submissão do workflow ocorre antes da autenticação, então o registro indica que não é necessária autenticação prévia. O vetor CVSS 3.1 também indica que nenhum privilégio é exigido.

Há exploração conhecida desta vulnerabilidade na natureza?

O registro mostra que a CVE não consta no catálogo KEV da CISA e que não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.