PT-2026-30266

CVE-2026-34612

Publicado

2026-04-03

Atualizado

2026-07-24

Descrição por

CVSS 3.1

9.9

Crítica

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Kestra versões anteriores a 1.3.7

Description O Kestra, uma plataforma de orquestração baseada em eventos de código aberto, contém uma falha de Injeção de SQL no endpoint 'GET /api/v1/main/flows/search'. Um usuário autenticado pode acionar este problema ao visitar um link manipulado. A falha permite a execução de comandos arbitrários do sistema operacional no host, pois a carga útil injetada é processada pelo PostgreSQL utilizando a funcionalidade COPY ... TO PROGRAM ..., resultando em Execução Remota de Código (RCE).

Recommendations Atualizar para a versão 1.3.7.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Blvck-Ltr

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados