CVE-2026-38428
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Kestra w wersji 1.3.3 i wcześniejszych jest podatna na wstrzykiwanie SQL. Podatność wynika z bezpośredniego konkatenowania danych wejściowych użytkownika z parametru GET do zapytania SQL bez odpowiedniego oczyszczania lub parametryzacji.
Ocena ryzyka
Atakujący może wstrzyknąć dowolne wyrażenia SQL do zapytania bazy danych, co może prowadzić do wycieku danych lub ich modyfikacji.
Rekomendacja
Zaleca się aktualizację Kestra do wersji nowszej niż 1.3.3, która zawiera poprawkę eliminującą podatność na wstrzykiwanie SQL.
Oryginalny opis (angielski, źródło NVD)
Kestra v1.3.3 and before is vulnerable to SQL Injection. The vulnerability occurs because user-controlled input from a GET parameter is directly concatenated into an SQL query without proper sanitization or parameterization. As a result, attackers can inject arbitrary SQL expressions into the database query.