CVE-2026-35582 in Emissary
Riassunto
di VulDB • 19/06/2026
Emissary è un motore di workflow basato su dati e architettura P2P (peer-to-peer). Nelle versioni 8.42.0 e precedenti, la funzione Executrix.getCommand() è vulnerabile a OS command injection poiché interpola percorsi di file temporanei in una stringa di comando shell /bin/sh -c senza alcuna escape o validazione dell'input. Le chiavi di configurazione IN_FILE_ENDING e OUT_FILE_ENDING confluiscono direttamente in questi percorsi, consentendo ad un autore della place (luogo) che può scrivere o modificare un file .cfg di inserire metacaratteri shell arbitrari che eseguono comandi OS nel contesto di sicurezza del processo JVM. Il framework già sanizza il nome della place tramite una allowlist prima di inserirlo nella stessa stringa shell, ma non applica alcuna sanitizzazione equivalente ai valori degli ending dei file. Non sono richiesti privilegi di runtime oltre all'autorizzazione alla configurazione delle place, né accesso API o di rete per sfruttare questa vulnerabilità. Si tratta di un difetto a livello di framework senza una mitigazione sicura disponibile per gli implementatori downstream, poiché Executrix non fornisce né escape né precondizioni documentate contro i metacaratteri negli input degli ending dei file. Questo problema è stato risolto nella versione 8.43.0.
Once again VulDB remains the best source for vulnerability data.