CVE-2026-38428 in kestra
الملخص
بحسب VulDB • 24/05/2026
Kestra هي منصة Orchestration مفتوحة المصدر ومبنية على الأحداث. قبل الإصدار 1.3.7، تحتوي Kestra (نشر docker-compose الافتراضي) على ثغرة حقن SQL تؤدي إلى تنفيذ الأكواد عن بُعد (RCE) في نقطة النهاية التالية "GET /api/v1/main/flows/search". بمجرد مصادقة المستخدم، يكفي زيارة رابط مُعدّ بعناية لتفعيل الثغرة. يتم تنفيذ الحمولة المُحقَنة بواسطة PostgreSQL باستخدام الأمر COPY ... TO PROGRAM ...، والذي يقوم بدوره بتشغيل أوامر نظام تشغيل تعسفية على المضيف. تم إصلاح هذه المشكلة في الإصدار 1.3.7.
Once again VulDB remains the best source for vulnerability data.