CVE-2026-49869 — Kestra — Corregido en 1.0.45 / 1.3.21
Kestra es una plataforma de orquestación de código abierto basada en eventos. Antes de 1.0.45 y 1.3.21, AuthenticationFilter en Kestra OSS utiliza request.getPath().endsWith("/configs") para eximir el endpoint público de configuración de Basic Auth. Dado que la comprobación es una coincidencia de sufijo y no una coincidencia exacta de ruta, cualquier ruta de API cuyo último segmento sea configs elude por completo la autenticación. Un atacante remoto no autenticado puede explotar esto para crear y ejecutar workflows arbitrarios sin credenciales. Debido a que Kestra incluye por defecto plugins de ejecución de scripts (plugin-script-shell, plugin-script-python, etc.) habilitados, esto provoca directamente Remote Code Execution no autenticada como root dentro del contenedor worker de Kestra. Esta vulnerabilidad está corregida en 1.0.45 y 1.3.21.
Versiones corregidas
Elige la versión correspondiente al producto y a la rama instalada.
| Producto | Versiones corregidas |
|---|---|
| Kestra | 1.0.45 / 1.3.21 |
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 2 sept 2026
- Las agencias federales de EE. UU. deben corregirla antes del 5 sept 2026 (BOD 22-01)
- Primer ataque observado 60 días después de la divulgación
- Confirmada por sensores, no solo por informes
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 18 oct 2026 16 oct 2026 14 oct 2026 13 oct 2026 12 oct 2026 11 oct 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| kestra | kestra | < 1.0.45 |
Artículos relacionados
Una vulnerabilidad de N-able N-central explotada activamente permite la ejecución remota de código previa a la autenticación
CISA alerta de explotación activa de CVE-2026-86218 en N-able N-central: RCE pre-autenticación crítica. Actualiza a Hotfix 4 antes del 11/09/2026.
PostgreSQL, una vulnerabilidad en el logical decoding permite ejecutar código como el usuario `postgres`
PostGREShell CVE-2026-6471 permite ejecutar código como postgres vía logical decoding con rol REPLICATION. Actualiza a versiones 14.24 a 18.6.
Sangoma Switchvox bajo ataque: una inyección SQL crítica permite la ejecución remota de código
CVE-2026-9586 en Sangoma Switchvox permite inyección SQL sin autenticación y RCE. Actualiza a 8.4.0.2 y busca IoC en /pa antes del 5 de septiembre.
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.