CVE-2026-35582

Emissary, P2P tabanlı veri odaklı bir iş akışı motorudur. 8.42.0 ve altı sürümlerde, Executrix.getCommand() fonksiyonu, geçici dosya yollarını herhangi bir kaçış karakteri veya girdi doğrulaması olmaksızın bir /bin/sh -c kabuk komutu dizesine eklediği için OS komut enjeksiyonuna karşı savunmasızdır. IN_FILE_ENDING ve OUT_FILE_ENDING yapılandırma anahtarları doğrudan bu yollara aktarılarak, bir .cfg dosyası yazabilen veya değiştirebilen yerleşim yazarlarının, JVM işleminin güvenlik bağlamında OS komutlarını çalıştıran rastgele kabuk meta karakterleri enjekte etmesine olanak tanır. Framework, placeName değerini aynı kabuk dizesine gömmeden önce bir izin listesi aracılığıyla temizlemektedir ancak dosya sonu değerlerine eşdeğer bir temizleme işlemi uygulamamaktadır. Bu zafiyeti istismar etmek için yerleşim yapılandırması yazarlığı dışında herhangi bir çalışma zamanı ayrıcalığına, API veya ağ erişimine gerek yoktur. Executrix, dosya sonu girdilerindeki meta karakterlere karşı ne bir kaçış mekanizması ne de belgelenmiş ön koşullar sağladığından, bu durum alt uygulama geliştiricileri için güvenli bir hafifletme yöntemi bulunmayan framework düzeyinde bir kusurdur. Bu sorun 8.43.0 sürümünde düzeltilmiştir.