CVE-2026-35582

Emissary P2P əsaslı məlumat yönlü iş axını mühərrikidir. 8.42.0 və daha aşağı versiyalarda Executrix.getCommand() funksiyası ƏMƏLİYYAT SİSTEMİ əmrinin inyeksiyasına qarşı həssasdır, çünki müvəqqəti fayl yollarını heç bir xüsusi simvolun təmizlənməsi (escaping) və ya giriş validasiyası olmadan /bin/sh -c shell əmr sətirinə daxil edir. IN_FILE_ENDING və OUT_FILE_ENDING konfiqurasiya açarları birbaşa bu yollara ötürülür ki, bu da .cfg faylını yaza və ya dəyişdirə bilən yer müəllifine (place author), JVM prosesinin təhlükəsizlik kontekstində ƏS əmrlərini icra edən ixtiyari shell meta-simvollarını inyeksiya etməyə imkan verir. Framework artıq eyni shell sətirinə daxil etməzdən əvvəl placeName dəyərini ağ siyahı vasitəsilə təmizləyir, lakin fayl sonluğu (file ending) dəyərləri üçün oxşar təmizləmə tətbiq etmir. Bu zəifliyin istismarı üçün yer konfiqurasiyasının müəllifi olmaqdan başqa heç bir runtime imtiyazı, habelə API və ya şəbəkə girişi tələb olunmur. Executrix fayl sonluğu girişlərində meta-simvollara qarşı nə təmizləmə, nə də sənədləşdirilmiş ön şərtlər təmin etmədiyi üçün, bu, aşağı axın tətbiqçiləri üçün təhlükəsiz yumşaltma üsulu olmayan framework səviyyəli bir qüsurdur. Bu problem 8.43.0 versiyasında düzəldilmişdir.