CVE-2026-38428 in kestra
Résumé
par VulDB • 09/05/2026
Kestra est une plateforme d'orchestration open source pilotée par les événements. Avant la version 1.3.7, Kestra (déploiement par défaut via docker-compose) contient une vulnérabilité d'injection SQL qui conduit à une exécution de code à distance (RCE) sur le point de terminaison suivant : « GET /api/v1/main/flows/search ». Une fois qu'un utilisateur est authentifié, il suffit de visiter un lien falsifié pour déclencher la vulnérabilité. La charge utile injectée est exécutée par PostgreSQL à l'aide de la commande COPY ... TO PROGRAM ..., qui exécute à son tour des commandes système arbitraires sur l'hôte. Ce problème a été corrigé dans la version 1.3.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.