CVE-2026-73247

Nome do Software Vulnerável e Versões Afetadas Kestra versões anteriores a 2.0.0

Description Existe um problema onde a função http() em HttpFunction.java passa um argumento URI controlado pelo usuário para URI.create() e para o cliente HTTP do lado do servidor. Como o sistema não restringe destinos privados, de loopback ou link-local, um invasor não autenticado pode importar e executar um fluxo para realizar Server-Side Request Forgery (SSRF), permitindo o acesso a serviços internos ou metadados de nuvem.

Recommendations Atualize para a versão 2.0.0 ou posterior. Como mitigação temporária, restrinja o uso da função http() em fluxos para evitar requisições internas não autorizadas.