CVE-2026-45807

Kestra, açık kaynaklı ve olay güdümlü bir orkestrasyon platformudur. 1.0.43 ve 1.3.19 sürümlerinden önce, birkaç Kestra API uç noktası istemciden gelen kestra:// URI'sini kabul etmekte ve yerel depolama arka ucundan ilgili dosyayı okumadan önce bunu StorageInterface.parentTraversalGuard üzerinden geçirmektedir. Koruma mekanizması yalnızca literal URI.toString() ifadesini denetlediği için, %2E%2E şeklinde URL-kodlanmış .. dizisi bu denetimi atlatabilmektedir. Ardından alt akış kodu, %2E%2E ifadesini tekrar .. şekline dönüştüren URI.getPath() fonksiyonunu çağırmakta ve sonuçlanan yol normalleştirilmeden Paths.get(...) fonksiyonuna iletilmektedir. İşletim sistemi, open(2) sırasında .. bölümlerini çözümlediğinden, tek bir yürütme yetkisine sahip kimliği doğrulanmış bir kullanıcı, Kestra işleminin ana bilgisayar dosya sisteminde erişebildiği herhangi bir dosyayı (/etc/passwd, bağlanmış sırlar, diğer kiracıların yürütme çıktıları vb.) okuyabilmektedir. Bu güvenlik açığı 1.0.43 ve 1.3.19 sürümlerinde giderilmiştir.