Veille sécuritéBackend & données
P3Moyenne
Une SSRF affecte le traitement de la tâche `PLANNER_CONTEXT_FETCH` de Conductor lorsque l’argument `url` est manipulé. La fiche indique que l’exploit a été rendu public ; aucun correctif n’est précisé dans les données fournies.
Java
IdentifiantCVE-2026-124507
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124507
Analyse technique
La faille concerne `WorkflowSystemTask.start` dans `PlannerContextFetchTask.java`.
Impact, versions et correctif
Événement datéRetenue car la fiche indique une publication le 2026-11-09, dans la période demandée ; il s’agit d’une vulnérabilité nouvellement publiée.
ImpactUn attaquant distant peut provoquer des requêtes depuis le serveur vers des URL de son choix.
Versions affectéesConductor jusqu’aux versions 3.32.4, 3.33.0, 3.34.0-rc3 et 4.0.0-alpha.1 indiquées
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
EPSS0,31% · percentile 24,2%
Publication2026-11-09T01:17:03.003Z
Mise à jour2026-11-09T01:17:03.167Z
Action recommandée
Évaluer l’exposition des tâches `PLANNER_CONTEXT_FETCH` et appliquer le correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).