CVE-2026-49984

Kestra açıq mənbəli, hadisə əsaslı orkestrasiya platformasıdır. 1.0.45 və 1.3.23 versiyalarından əvvəl lokal internal-storage backend-i istifadəçi tərəfindən təmin edilən yolları Windows üslublu geri slash-ləri (backslash) önə slash-lərə çevirməzdən əvvəl .. traversal üçün yoxlayır. Buna görə də hücumçu geri slash-lərdən (\..\..\..\) istifadə edərək traversal ardıcıllığını mühafizə sistemindən keçirə bilər; mühafizə sistemi bunu zərərsiz sətir kimi görür və yol yalnız yoxlamadan sonra, fayl açılmazdan dərhal əvvəl ../../../ şəklində yenidən yazılır. İcra prosesini görə bilən hər hansı autentifikasiya olunmuş istifadəçi (ən aşağı imtiyazlı rol) GET /api/v1/{tenant}/executions/{executionId}/file?path=… sorğusunu çağıra və Kestra prosesi tərəfindən oxuna bilən server fayl sistemindəki istənilən faylı, saxlama qumcuvasının (sandbox) kənarında, bütün tenant və namespace-lər üzrə oxuya bilər. Bura daxili H2 verilənlər bazası (bütün axınlar, bütün istifadəçilər, bütün saxlanılan gizli məlumatlar), digər hər bir tenant/namespace-in daxili saxlaması, montaj edilmiş gizli fayllar və konfiqurasiya edilmiş verilənlər bazası və secret-backend etibarnamələrini ehtiva edən proses mühiti (/proc/self/environ) daxildir. Bu, Kestra-nın saxlama izolyasiyasının və çoxtenantlilik (multi-tenancy) sərhədinin tamamilə pozulmasıdır. Bu boşluq 1.0.45 və 1.3.23 versiyalarında aradan qaldırılmışdır.