Orkes Conductor: Unauthentifizierte Remote Code Execution über Inline-Workflow-Definitionen

Beschreibung

Orkes Conductor ab Version 3.21.21 und vor 3.30.2 enthält eine Schwachstelle, die nicht authentifizierten Angreifern aus der Ferne die Ausführung beliebiger Betriebssystembefehle erlaubt. Der Angriff erfolgt durch das Einreichen von Inline-Workflow-Definitionen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: Auf Orkes Conductor 3.30.2 oder neuer aktualisieren.

Changelog

1. 2026-07-14 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage