2026-10-31
Orkes Conductor CVE-2026-58138：无需身份验证即可执行操作系统命令，已观测到攻击尝试（请更新到 3.30.2 或更高版本）
CVE-2026-58138 是 Conductor 中的一个漏洞。Conductor 是 conductor-oss 项目的开源工作流引擎，CVE 记录中称其为 Orkes Conductor。在 3.21.21 至低于 3.30.2 的版本中，由于脚本求值器没有沙箱隔离，远程攻击者只需向工作流 API 提交包含 JavaScript 或 Python 表达式的工作流定义，即可在无需身份验证的情况下执行操作系统命令。该 CVE 于2026年6月30日公布，CVSS 为 9.8（v3.1）和 9.3（v4.0）。修复包含在6月3日发布的 3.30.2 中，但其发布说明只写了进一步限制 JavaScript 引擎。一家网络安全厂商在9月报告称，其入侵防御服务在一天内拦截了 1,290 次攻击尝试，七天内拦截了 6,696 次。这些是被拦截的尝试，而不是已确认的入侵。截至10月31日，该 CVE 不在 CISA 的 KEV 目录中，NVD 也尚未分析（状态为 Deferred）。本站的结论：如果您自行运行 Conductor，请立即升级到 3.30.2 或更高版本，不要让其 API 暴露在互联网上；如果受影响的版本曾可从外部访问，请按可能已被入侵的前提进行检查。