CVE-2026-49869
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 10
- EPSS
- 2.1%
- CWE
- CWE-78
- KEV Durumu
- Evet
Yayım tarihi: 26 Haziran 2026 · CISA KEV son iyileştirme tarihi: 5 Eylül 2026
Etkilenen: kestra kestra
Kestra, açık kaynaklı, olay güdümlü bir düzenleme platformudur. 1.0.45 ve 1.3.21 sürümlerinden önceki sürümlerde, Kestra OSS'deki AuthenticationFilter, Temel Kimlik Doğrulaması'ndan kamu yapılandırma uç noktasını beyaz listelemek için request.getPath().endsWith("/configs") kullanır. Kontrol, tam yol eşleştirmesi yerine bir sonek eşleştirmesi olduğu için, son segmenti configs olan herhangi bir API yolu kimlik doğrulamasını tamamen atlar. Kimlik doğrulaması yapılmamış bir uzaktan saldırgan, bu açığı arbitrary iş akışlarını kimlik bilgilerini girmeden oluşturmak ve çalıştırmak için sömürebilir. Kestra, betik çalıştırma eklentilerini (plugin-script-shell, plugin-script-python vb.) varsayılan olarak etkinleştirdiği için, bu doğrudan Kestra çalışan konteynırında kimlik doğrulaması yapılmamış Uzaktan Kod Çalıştırma olarak kök sonuçlanır. Bu güvenlik açığı, 1.0.45 ve 1.3.21 sürümlerinde giderilmiştir.
Orijinal açıklama (İngilizce)
Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.