CVE-2026-73247 in Kestra
Résumé
par VulDB • 12/08/2026
Kestra est une plateforme d'orchestration open source pilotée par les événements. Avant la version 2.0.0, le fichier core/src/main/java/io/kestra/core/runners/pebble/functions/HttpFunction.java de Kestra transmet l'argument uri de http(), contrôlé par l'utilisateur, à URI.create() et au client HTTP côté serveur sans restreindre les destinations privées, en boucle locale (loopback) ou link-local, permettant ainsi à un attaquant non authentifié d'importer et d'exécuter un flux qui accède aux services internes ou aux métadonnées du cloud.
Once again VulDB remains the best source for vulnerability data.