CVE-2026-35582 in Emissary
Resumen
por VulDB • 2026-05-15
Emissary es un motor de flujos de trabajo basado en datos y P2P. En las versiones 8.42.0 y anteriores, Executrix.getCommand() es vulnerable a inyección de comandos del sistema operativo (OS command injection) porque interpola rutas de archivos temporales en una cadena de comando de shell `/bin/sh -c` sin realizar ningún tipo de escape ni validación de la entrada. Las claves de configuración IN_FILE_ENDING y OUT_FILE_ENDING se incorporan directamente en estas rutas, lo que permite que un autor de un lugar (place) que pueda escribir o modificar un archivo .cfg inyecte metacaracteres de shell arbitrarios que ejecuten comandos del sistema operativo en el contexto de seguridad del proceso de la JVM. El framework ya sanitiza placeName mediante una lista blanca antes de incrustarlo en la misma cadena de shell, pero no aplica una sanitización equivalente a los valores de finalización de archivo. No se requieren privilegios de ejecución en tiempo de ejecución más allá de la autoría de la configuración del lugar, ni acceso a la API o a la red para explotar esta vulnerabilidad. Este es un defecto a nivel de framework sin una mitigación segura disponible para los implementadores downstream, ya que Executrix no proporciona ni escape ni precondiciones documentadas contra metacaracteres en las entradas de finalización de archivo. Este problema se ha corregido en la versión 8.43.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.