CVE-2026-33664 in kestra
Zusammenfassung
von VulDB • 19.05.2026
Kestra ist eine Open-Source, ereignisgesteuerte Orchestrierungsplattform. Versionen bis einschließlich 1.3.3 rendern benutzergestellte Flow-YAML-Metadatenfelder — description, inputs[].displayName, inputs[].description — über die Markdown.vue-Komponente, die mit html: true instanziiert wird. Das resultierende HTML wird über Vues v-html ohne jegliche Sanitisierung in das DOM injiziert. Dies ermöglicht es einem Flow-Autor, beliebiges JavaScript einzubetten, das im Browser jedes Benutzers ausgeführt wird, der den Flow ansieht oder damit interagiert. Dies unterscheidet sich von GHSA-r36c-83hm-pc8j / CVE-2026-29082, das nur das Rendern von .md-Dateien aus Ausführungsausgaben durch FilePreview.vue abdeckt. Der vorliegende Befund betrifft andere Komponenten, andere Datenquellen und erfordert deutlich weniger Benutzerinteraktion (Zero-Click für input.displayName). Zum Zeitpunkt der Veröffentlichung ist unklar, ob ein Patch verfügbar ist.
Once again VulDB remains the best source for vulnerability data.