CVE-2026-73247
Yüksek
Açıklama
Kestra, açık kaynaklı, olay güdümlü bir orkestrasyon platformudur. 2.0.0 sürümünden önce, Kestra'nın core/src/main/java/io/kestra/core/runners/pebble/functions/HttpFunction.java dosyası, kullanıcı tarafından kontrol edilen http() uri argümanını özel, geri döngü veya bağlantı yerel adreslerini kısıtlamadan URI.create() ve sunucu tarafı HTTP istemcisine iletir; bu da kimlik doğrulaması yapılmamış bir saldırganın iç hizmetlere veya bulut meta verilerine erişen bir akışı içe aktarıp çalıştırmasına olanak tanır.
ÖnemYüksek
CVSS8.6
İstismar olasılığı—
ÜrünIo.kestra:core
Yayın11 Ağu 2026
İlk görülme11 Ağu 2026
Zayıflık türüCWE-918Sunucu taraflı istek sahteciliği (SSRF)
Nasıl düzeltilir
Güncelleyin
- io.kestra:kestra-core2.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| io.kestra:coreMaven | v ≤ 1.3.31 | — |
| io.kestra:kestra-coreMaven | v < 2.0.0 | 2.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.