CVE-2026-49869
Kestra : Exécution de code à distance non authentifiée via contournement de l'authentification dans AuthenticationFilter
- Publié
- 26 juin 2026
- Mise à jour
- 3 sept. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 8 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 81,3 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
Kestra est une plateforme d'orchestration open-source et événementielle. Avant les versions 1.0.45 et 1.3.21, AuthenticationFilter dans Kestra OSS utilise request.getPath().endsWith("/configs") pour exempter le point de terminaison de configuration publique de l'authentification de base. Étant donné que la vérification est une correspondance par suffixe plutôt qu'une correspondance exacte de chemin, tout chemin d'API dont le dernier segment est configs contourne entièrement l'authentification. Un attaquant distant non authentifié peut exploiter cela pour créer et exécuter des workflows arbitraires sans identifiants. Étant donné que Kestra est fourni avec des plugins d'exécution de scripts (plugin-script-shell, plugin-script-python, etc.) activés par défaut, cela aboutit directement à une exécution de code à distance non authentifiée en tant que root dans le conteneur worker de Kestra. Cette vulnérabilité est corrigée dans les versions 1.0.45 et 1.3.21.
Sources
- CVE-2026-49869Scanner
Kestra Auth-Bypass Vulnerability Checker
PoC et lab Docker pour CVE-2026-49869, une RCE non authentifiée dans Kestra OSS via un contournement de chemin AuthenticationFilter qui permet la création de flux et l'exécution de commandes.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.