CVE-2026-49869 — Kestra — Corrigé dans 1.0.45 / 1.3.21
Kestra est une plateforme d'orchestration open-source, pilotée par les événements. Avant les versions 1.0.45 et 1.3.21, AuthenticationFilter dans Kestra OSS utilise request.getPath().endsWith("/configs") pour exempter l'endpoint de configuration public de Basic Auth. Étant donné que le contrôle est une correspondance de suffixe plutôt qu'une correspondance exacte de chemin, tout chemin d'API dont le dernier segment est configs contourne entièrement l'authentification. Un attaquant distant non authentifié peut exploiter cela pour créer et exécuter des workflows arbitraires sans identifiants. Comme Kestra est livré avec des plugins d'exécution de scripts (plugin-script-shell, plugin-script-python, etc.) activés par défaut, cela entraîne directement une exécution de code à distance non authentifiée en tant que root à l'intérieur du conteneur worker de Kestra. Cette vulnérabilité est corrigée dans les versions 1.0.45 et 1.3.21.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| Kestra | 1.0.45 / 1.3.21 |
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 2 sept. 2026
- Les agences fédérales américaines doivent la corriger avant le 5 sept. 2026 (BOD 22-01)
- Première attaque observée 60 jours après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Source : CISA KEV · 18 oct. 2026 16 oct. 2026 14 oct. 2026 13 oct. 2026 12 oct. 2026 11 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| kestra | kestra | < 1.0.45 |
Articles liés
Une faille N-able N-central activement exploitée permet l’exécution de code à distance avant authentification
La faille CVE-2026-86218 de N-able N-central permet une RCE sans authentification, exploitée activement. CISA alerte, installez le Hotfix 4.
PostgreSQL, une faille du logical decoding permet d’exécuter du code en tant qu’utilisateur `postgres`
CVE-2026-6471 PostGREShell : une faille du logical decoding PostgreSQL permet d'exécuter du code en postgres via un compte REPLICATION.
Sangoma Switchvox sous attaque : une injection SQL critique permet l’exécution de code à distance
CVE-2026-9586 : faille injection SQL critique sur Sangoma Switchvox exploitée, exécution de code à distance. Mettez à jour vers 8.4.0.2.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.