Veille sécuritéBackend & données
P4Moyenne
Conductor-oss Conductor jusqu’à 3.33.0-rc10 comporte une SSRF dans KafkaPublishTask.start : la valeur kafka_request.bootStrapServers peut être manipulée à distance. Une divulgation publique de l’exploit est signalée ; aucun correctif n’est indiqué dans les éléments fournis, aussi vérifier les versions ultérieures et filtrer les destinations réseau autorisées.
Java
IdentifiantCVE-2026-109405
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109405
Analyse technique
KafkaPublishTask.start utilise kafka_request.bootStrapServers d’une manière permettant de provoquer des requêtes forgées côté serveur.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-13T13:17:19.130Z, dans la période demandée ; la vulnérabilité a été nouvellement publiée.
ImpactUn attaquant distant peut amener le serveur à effectuer des requêtes vers des destinations contrôlées ; les conséquences additionnelles ne sont pas détaillées.
Versions affectéesconductor-oss conductor jusqu’à 3.33.0-rc10
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5
Publication2026-10-13T13:17:19.130Z
Mise à jour2026-10-13T13:29:12.567Z
Action recommandée
Vérifier les correctifs disponibles ; valider les serveurs Kafka configurés et restreindre les connexions sortantes.
Sources
Priorisation DFS : P4 · 1 source(s).