Veille sécuritéBackend & données
P4Faible
Conductor-oss Conductor 3.22.0 comporte une SSRF dans MCPService.listTools : la valeur mcpServer peut être manipulée afin de provoquer des requêtes depuis le serveur. La vulnérabilité est signalée comme publiquement divulguée ; les éléments fournis ne mentionnent pas de version corrigée, aussi il convient de vérifier les mises à jour et de restreindre les connexions sortantes.
Java
IdentifiantCVE-2026-109402
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109402
Analyse technique
La fonction MCPService.listTools du composant MCP Service accepte un argument mcpServer pouvant déclencher une requête forgée côté serveur.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-13T12:17:13.807Z, dans la période demandée ; la vulnérabilité a été nouvellement publiée.
ImpactUn attaquant distant peut provoquer des requêtes réseau depuis le serveur ; les conséquences additionnelles ne sont pas détaillées.
Versions affectéesconductor-oss conductor 3.22.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-10-13T12:17:13.807Z
Mise à jour2026-10-13T13:29:12.567Z
Action recommandée
Vérifier la disponibilité d’un correctif ; valider les adresses des serveurs MCP et limiter les connexions sortantes.
Sources
Priorisation DFS : P4 · 1 source(s).