CVE-2026-109432
CVE-2026-109432 · Camunda Expression Injection via orQueries RCE
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Camunda 7.24.0 before 7.24.14 and 7.23.0 before 7.23.17 contains an expression injection vulnerability where AdhocQueryValidator.validate() fails to check sub-query expression maps within the orQueries field exposed by TaskQueryDto, allowing authenticated users to bypass the enableExpressionsInAdhocQueries restriction. Attackers can supply a malicious JUEL expression such as dueAfterExpression inside an orQueries entry to achieve arbitrary Java reflection and invoke java.lang.Runtime.exec, resulting in operating-system command execution as the engine service user.
CVSS 9.3 · Critique · EPSS 0,6% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
camunda 7
- Versions du logiciel
- ≥ 7.24.0, < 7.24.14: Concernée (semver)
- ≥ 7.23.0, < 7.23.17: Concernée (semver)
Mettez à jour vers 7.23.17; Mettez à jour vers 7.24.14