CVE-2026-53576

КритическийОпубликовано

Kestra: Неаутентифицированный RCE через обход фильтра аутентификации по суффиксу пути /configs

Опубликовано: 26 июн. 2026 г.
Обновлено: 29 июн. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

10,0/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Оценка вероятности EPSS

3,2 %

Низкий · следующие 30 дней

Процентиль: 87,5 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Kestra — это платформа оркестрации с открытым исходным кодом, управляемая событиями. До версий 1.0.45 и 1.3.21 фильтр аутентификации для REST API (@Filter("/api/v1/**")) обрабатывает любой запрос, путь которого заканчивается на /configs, как публичную конечную точку конфигурации экземпляра и пересылает его без проверки учётных данных. kestra обращается к своим ресурсам по сегментам пути URL, которые выбирает вызывающая сторона (/api/v1/{tenant}/flows/{namespace}, /api/v1/{tenant}/executions/{namespace}/{id}, /api/v1/{tenant}/namespaces/{namespace}/kv/{key}). Анонимный вызывающий выбирает литерал configs в качестве последнего сегмента, и запрос полностью обходит Basic-Auth. Поскольку обход достигает маршрутов создания потоков и запуска исполнений, неаутентифицированный вызывающий создаёт поток, содержащий задачу Shell или Process, и запускает его. Задача выполняется от имени root внутри контейнера kestra. Официальный docker-compose.yml монтирует /var/run/docker.sock, поэтому root в контейнере получает доступ к демону Docker на хосте. Эта уязвимость устранена в версиях 1.0.45 и 1.3.21.

Источники

CVE-2026-53576Эксплойт
Kestra Unauthenticated RCE Exploit (CVE-2026-53576)
CVE-2026-49869Сканер
Kestra Auth-Bypass Vulnerability Checker

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.