CVE-2026-35582 in Emissary
摘要
由 VulDB • 2026-05-26
Emissary 是一个基于 P2P 的数据驱动工作流引擎。在 8.42.0 及更低版本中，`Executrix.getCommand()` 存在操作系统命令注入漏洞，因为它将临时文件路径插值到 `/bin/sh -c` shell 命令字符串中，且未进行任何转义或输入验证。`IN_FILE_ENDING` 和 `OUT_FILE_ENDING` 配置键直接流入这些路径，允许能够写入或修改 `.cfg` 文件的位置（place）作者注入任意 shell 元字符，从而在 JVM 进程的安全上下文中执行操作系统命令。该框架在将 `placeName` 嵌入同一 shell 字符串之前，已通过白名单对其进行清理，但对文件结尾值未应用等效的清理措施。利用此漏洞无需超出位置配置作者身份的运行时特权，也无需 API 或网络访问权限。这是一个框架级别的缺陷，下游实现者没有安全的缓解措施，因为 `Executrix` 既不提供转义功能，也未针对文件结尾输入中的元字符提供文档化的前置条件。此问题已在 8.43.0 版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.