PT-2026-30266 · Kestra · Kestra

Blvck-Ltr · Publicado 2026-04-03 · Atualizado 2026-04-09 · CVE-2026-34612

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Kestra versões anteriores a 1.3.7

Description Kestra é uma plataforma de orquestração orientada a eventos. Versões anteriores a 1.3.7 contêm uma vulnerabilidade de Injeção SQL no endpoint 'GET /api/v1/main/flows/search', que pode levar à Execução Remota de Código (RCE). Usuários autenticados podem acionar esse problema visitando um link criado. A vulnerabilidade explora a funcionalidade COPY ... TO PROGRAM ... do PostgreSQL para executar comandos arbitrários do sistema operacional no host.

Recommendations Atualize para a versão 1.3.7 ou posterior.

Exploit

Correção

RCE

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-34612

Produtos afetados

Kestra

Referências · 8

• 🔥 https://github.com/kestra-io/kestra/security/advisories/GHSA-365w-2m69-mp9x · Exploit
• https://github.com/kestra-io/kestra/releases/tag/v1.3.7 · Nota
• https://github.com/kestra-io/kestra/commit/3926762795df8ad3e03924b370c51832ed3a21d3 · Correção
• https://twitter.com/CveFindCom/status/2040213695595249800 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2042242879947751517 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34612 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2040201287287882219 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2040293284447445151 · Publicação no Twitter