CVE-2026-49869 — Kestra — Behoben in 1.0.45 / 1.3.21
Kestra ist eine Open-Source, ereignisgesteuerte Orchestrierungsplattform. Vor 1.0.45 und 1.3.21 verwendet AuthenticationFilter in Kestra OSS request.getPath().endsWith("/configs"), um den öffentlichen Konfigurationsendpunkt von Basic Auth auszunehmen. Da die Prüfung ein Suffix-Abgleich und kein exakter Pfadabgleich ist, umgeht jeder API-Pfad, dessen letztes Segment configs ist, die Authentifizierung vollständig. Ein nicht authentifizierter Remote-Angreifer kann dies ausnutzen, um ohne Anmeldedaten beliebige Workflows zu erstellen und auszuführen. Da Kestra mit standardmäßig aktivierten Skriptausführungs-Plugins (plugin-script-shell, plugin-script-python, etc.) ausgeliefert wird, führt dies direkt zu unauthenticated Remote Code Execution als root innerhalb des Kestra-Worker-Containers. Diese Schwachstelle ist in 1.0.45 und 1.3.21 behoben.
Korrigierte Versionen
Wählen Sie die Version für das installierte Produkt und den Versionszweig.
| Produkt | Korrigierte Versionen |
|---|---|
| Kestra | 1.0.45 / 1.3.21 |
Aktiv ausgenutzt
- Seit dem 02.09.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 05.09.2026 beheben (BOD 22-01)
- Erster Angriff 60 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 18.10.2026 16.10.2026 14.10.2026 13.10.2026 12.10.2026 11.10.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| kestra | kestra | < 1.0.45 |
Verwandte Artikel
Aktiv ausgenutzte Schwachstelle in N-able N-central ermöglicht Remote-Codeausführung vor der Authentifizierung
CVE-2026-86218 in N-able N-central ermöglicht RCE ohne Login und wird aktiv ausgenutzt. CISA fordert Patch auf Hotfix 4 bis 11.09.2026.
PostgreSQL: Schwachstelle im Logical Decoding ermöglicht Codeausführung als Benutzer `postgres`
CVE-2026-6471 erlaubt Codeausführung als postgres via Logical Decoding ohne Superuser. Betroffen: Versionen 14-18. Update auf 18.6, 17.11 u.a. nötig.
Sangoma Switchvox unter Beschuss: Kritische SQL-Injection ermöglicht Remote-Codeausführung
CVE-2026-9586 in Sangoma Switchvox wird aktiv ausgenutzt: SQL-Injection über /pa ermöglicht RCE. Jetzt auf 8.4.0.2 updaten und Logs prüfen.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.