CVE-2026-35582 in Emissary
Résumé
par VulDB • 26/05/2026
Emissary est un moteur de workflows piloté par les données et basé sur le P2P. Dans les versions 8.42.0 et inférieures, la méthode Executrix.getCommand() est vulnérable à une injection de commandes OS car elle interpole des chemins de fichiers temporaires dans une chaîne de commande shell `/bin/sh -c` sans aucune échappement ni validation des entrées. Les clés de configuration IN_FILE_ENDING et OUT_FILE_ENDING sont directement intégrées dans ces chemins, permettant à un auteur de place capable d'écrire ou de modifier un fichier .cfg d'injecter des métacaractères shell arbitraires qui exécutent des commandes OS dans le contexte de sécurité du processus JVM. Le framework nettoie déjà le placeName via une liste blanche avant de l'intégrer dans la même chaîne shell, mais n'applique aucune sanitization équivalente aux valeurs de fin de fichier. Aucune privilège d'exécution autre que l'autorisation de configuration de place, ni aucun accès API ou réseau, n'est requis pour exploiter cette vulnérabilité. Il s'agit d'un défaut au niveau du framework sans mitigation sûre disponible pour les implémenteurs en aval, car Executrix ne fournit ni échappement ni préconditions documentées contre les métacaractères dans les entrées de fin de fichier. Ce problème a été corrigé dans la version 8.43.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.