CVE-2026-35582 in Emissary
要約
〜によって VulDB • 2026年05月26日
Emissaryは、P2Pベースのデータ駆動型ワークフローエンジンです。バージョン8.42.0およびそれ以前のバージョンでは、`Executrix.getCommand()`がOSコマンドインジェクションに対して脆弱です。これは、一時ファイルパスをエスケープ処理や入力検証なしで`/bin/sh -c`シェルコマンド文字列に補間するためです。`IN_FILE_ENDING`および`OUT_FILE_ENDING`設定キーはこれらのパスに直接反映されるため、`.cfg`ファイルの書き込みまたは変更が可能なプレイス作成者は、任意のシェルメタ文字をインジェクトでき、これによりJVMプロセスのセキュリティコンテキスト内でOSコマンドが実行されます。フレームワークは、プレイス名を同じシェル文字列に埋め込む前にホワイトリストを使用してサニタイズしていますが、ファイル末尾の値に対しては同等のサニタイズを適用していません。この脆弱性を悪用するには、プレイス設定の作成権限以外のランタイム権限や、APIまたはネットワークアクセスは必要ありません。これはフレームワークレベルの欠陥であり、`Executrix`はファイル末尾の入力に対するメタ文字のエスケープや文書化された事前条件を提供していないため、下流の実装者が安全な回避策を講じることはできません。この問題はバージョン8.43.0で修正されています。
Once again VulDB remains the best source for vulnerability data.