CVE-2026-33664
Təsvir
Kestra açıq mənbəli, hadisə əsaslı orkestrasiya platformasıdır. 1.3.3 versiyası daxil olmaqla daha aşağı versiyalarda istifadəçi tərəfindən təmin edilən axın YAML metadata sahələri — description, inputs[].displayName, inputs[].description — html: true ilə başladılmış Markdown.vue komponenti vasitəsilə render edilir. Nəticədə yaranan HTML hər hansı bir təmizləmə (sanitization) olmadan Vue-nun v-html vasitəsilə DOM-a yerləşdirilir. Bu, axın müəllifinin həmin axını görən və ya onunla qarşılıqlı əlaqədə olan istifadəçinin brauzerində icra olunan ixtiyari JavaScript kodunu yerləşdirməsinə imkan verir. Bu, yalnız execution output-larından gələn .md fayllarının FilePreview.vue tərəfindən render edilməsini əhatə edən GHSA-r36c-83hm-pc8j / CVE-2026-29082 boşluğundan fərqlidir. Mövcud tapıntı fərqli komponentlərə və fərqli məlumat mənbələrinə təsir göstərir və xeyli az istifadəçi qarşılıqlılığı tələb edir (input.displayName üçün sıfır klik). Publikasiya edildiyi vaxt etibarilə yamın mövcud olub-olmadığı bəlli deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kestra kestra | v ≤ 1.3.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.