Kestra OSS OS Command Injection Vulnerability

NGHIÊM TRỌNG 10.0ĐANG BỊ KHAI THÁC (CISA KEV)CVE-2026-49869 · Công bố 26/06/2026 · cập nhật 25/10/2026

Kestra OSS OS Command Injection Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 02/09/2026. Hãy vá các hệ thống bị ảnh hưởng ngay.

Tóm tắt nhanh

CVE-2026-49869 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 10.0) ảnh hưởng kestra (kestra).
Đang bị khai thác thực tế: CISA đưa vào danh mục KEV ngày 02/09/2026.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.1%, cao hơn 81.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.3.21, 1.0.45 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
kestra kestra	`≥ 1.1.0, < 1.3.21< 1.0.45`	`1.3.211.0.45`

Mô tả

Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.