CVE-2026-49869criticalbajo ataqueCWE-184 CWE-287 CWE-78 CWE-918

CVE-2026-49869: fallo crítico en kestra-io kestra

Kestra: Unauthenticated Remote Code Execution via Authentication Bypass in `AuthenticationFilter`

Publicada el 26 jun 2026 · Actualizada el 03 sep 2026

78Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 10epss 2.1%

de la publicación al arma4 días

Publicada en NVD26 jun

1ª PoC+4d

CISA KEV+68d

probabilidad de explotación

2.1%top 19% de las CVE

explotación observada

síCISA + VulnCheck

3 exploit(s) público(s)

Acción exigida por CISAplazo federal: 2026-09-05

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

La autenticación de Kestra solo verifica si la ruta termina con 'configs', permitiendo que atacantes eludan el inicio de sesión accediendo a cualquier API que termine así. Esto permite crear y ejecutar flujos de trabajo maliciosos que ejecutan código como administrador en el servidor.

Detalle técnico

CVE-2026-49869 explota validación inadecuada de ruta en AuthenticationFilter (CWE-184, CWE-287) donde endsWith("/configs") en lugar de coincidencia exacta permite acceso no autenticado a APIs. Atacantes remotos eluden autenticación para invocar endpoints de ejecución de flujo de trabajo arbitrario, resultando en inyección de comandos del sistema operativo (CWE-78) y ejecución remota de código (CWE-918) a través de complementos de script predeterminados (shell, Python) ejecutándose como root en el contenedor worker.

Resumen generado y traducido por IA a partir de la descripción oficial.

Kestra is an open-source, event-driven orchestration platform. Prior to 1.0.45 and 1.3.21, AuthenticationFilter in Kestra OSS uses request.getPath().endsWith("/configs") to whitelist the public configuration endpoint from Basic Auth. Because the check is a suffix match rather than an exact path match, any API path whose last segment is configs bypasses authentication entirely. An unauthenticated remote attacker can exploit this to create and execute arbitrary workflows without credentials. Because Kestra ships with script execution plugins (plugin-script-shell, plugin-script-python, etc.) enabled by default, this directly results in unauthenticated Remote Code Execution as root inside the Kestra worker container. This vulnerability is fixed in 1.0.45 and 1.3.21.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Productos afectados

kestra-io · kestra

PoCs públicas encontradas — 3

githubgithub.com/Ap0dexMe0/CVE-2026-49869★ 3 vulncheckvulncheck.com/xdb/55f8cc2bb03eno verificado vulncheckvulncheck.com/xdb/696a69a07712no verificado

⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.