PT-2026-30266 · Kestra · Kestra

Blvck-Ltr · CVE-2026-34612 · Publicado 2026-04-03 · Atualizado 2026-07-24

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Kestra versões anteriores a 1.3.7

Description O Kestra, uma plataforma de orquestração baseada em eventos de código aberto, contém uma falha de Injeção de SQL no endpoint 'GET /api/v1/main/flows/search'. Um usuário autenticado pode acionar este problema ao visitar um link manipulado. A falha permite a execução de comandos arbitrários do sistema operacional no host, pois a carga útil injetada é processada pelo PostgreSQL utilizando a funcionalidade COPY ... TO PROGRAM ..., resultando em Execução Remota de Código (RCE).

Recommendations Atualizar para a versão 1.3.7.

Exploit

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-34612

GHSA-365W-2M69-MP9X

Produtos afetados

Kestra

Referências · 11

• 🔥 https://github.com/kestra-io/kestra/security/advisories/GHSA-365w-2m69-mp9x · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34612.json · Exploit
• https://github.com/kestra-io/kestra/commit/3926762795df8ad3e03924b370c51832ed3a21d3 · Correção
• https://github.com/kestra-io/kestra/releases/tag/v1.3.7 · Nota
• https://t.me/cveNotify/222524 · Publicação no Telegram
• https://twitter.com/the_yellow_fall/status/2042242879947751517 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2040201287287882219 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2040213695595249800 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2040293284447445151 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34612 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-34612 · Aviso do Fabricante