CVE-2026-49869 в Kestra: одна проверка строки даёт root без аутентификации

В Kestra OSS (версии ниже 1.0.45 и 1.1.0–1.3.20) критическая уязвимость CVSS 10.0: проверка endsWith("/configs") в AuthenticationFilter позволяет обойти аутентификацию, создав флоу с именем configs. Через shell-плагины, работающие от root, это приводит к удалённому выполнению кода. Уязвимость добавлена в каталог CISA KEV и уже эксплуатируется, в том числе для майнинга.

• CVSS 3.1 — 10.0, затронуты Kestra ниже 1.0.45 и 1.1.0–1.3.20
• Флоу с именем configs обходит аутентификацию во всех API
• Shell-плагины Kestra выполняются в контейнере от root
• CVE добавлена в CISA KEV 2 сентября 2026 года