CVE-2026-73247
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Kestra przed wersją 2.0.0 przekazuje kontrolowany przez użytkownika argument uri funkcji http() do URI.create() i serwerowego klienta HTTP bez ograniczania miejsc docelowych prywatnych, pętli zwrotnej lub link-local, co pozwala nieuwierzytelnionemu atakującemu zaimportować i wykonać przepływ, który uzyskuje dostęp do wewnętrznych usług lub metadanych chmury.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać tę podatność do uzyskania dostępu do wewnętrznych zasobów sieciowych lub metadanych chmury, co może prowadzić do wycieku wrażliwych danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Kestrę do wersji 2.0.0 lub nowszej. Ogranicz dostęp do funkcji http() dla nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Kestra is an open-source, event-driven orchestration platform. Prior to 2.0.0, Kestra's core/src/main/java/io/kestra/core/runners/pebble/functions/HttpFunction.java passes the user-controlled http() uri argument to URI.create() and the server-side HTTP client without restricting private, loopback, or link-local destinations, allowing an unauthenticated attacker to import and execute a flow that accesses internal services or cloud metadata.