CVE-2026-34612是Kestra（默认docker-compose部署）中存在的一个SQL注入漏洞，该漏洞可能导致远程代码执行（RCE）。攻击者可以通过构造恶意链接，在经过身份验证的用户访问后触发该漏洞，从而在主机上执行任意操作系统命令，造成极高的安全风险。受影响的版本包括低于或等于1.3.7的版本。此漏洞已在1.3.7版本中得到修复。
Kestra，一个开源的事件驱动式编排平台，在其默认的 Docker Compose 部署中存在 SQL 注入漏洞（版本 1.3.7 之前）。这个关键漏洞允许通过 /api/v1/main/flows/search 端点实现远程代码执行 (RCE)。一旦用户进行身份验证，只需访问精心制作的链接即可触发该漏洞。注入的有效载荷使用 COPY ... TO PROGRAM ... 在 PostgreSQL 中执行，从而在主机上运行任意操作系统命令。CVSS 严重程度评分为 9.9，表明风险极高。由于其易于利用以及系统完全受损的潜在风险，此漏洞尤其令人担忧。
该漏洞通过认证用户访问恶意链接时，通过 /api/v1/main/flows/search 端点进行利用。链接包含一个 SQL 注入有效载荷，当 Kestra 处理时，该有效载荷将在 PostgreSQL 数据库中执行。COPY ... TO PROGRAM ... 函数允许此有效载荷执行操作系统命令，从而导致远程代码执行。访问端点需要身份验证，但一旦身份验证成功，利用就相对简单。搜索端点中缺乏对用户输入的适当验证是此漏洞的根本原因。
Organizations utilizing Kestra orchestration platform in their default docker-compose deployments are at significant risk. This includes development and testing environments, as well as production systems where authentication is in place. Shared hosting environments using Kestra are particularly vulnerable due to the ease of exploitation.
• linux / server:
journalctl -u kestra -g "SQL Injection" | grep -i error• generic web:
curl -I 'http://<kestra_host>/api/v1/main/flows/search?q=<crafted_payload>' | grep 'HTTP/1.1 500' # Check for server errors indicating injectiondisclosure
漏洞利用状态
EPSS
0.16% (37% 百分位)
CISA SSVC
减轻此漏洞的解决方案是将 Kestra 升级到 1.3.7 或更高版本。此版本包含修复程序，可解决 /api/v1/main/flows/search 端点的 SQL 注入问题。此外，请审查 Kestra 部署的安全配置，包括实施强大的密码策略并限制对 PostgreSQL 数据库的访问。监控 Kestra 日志中是否存在可疑活动也有助于检测和响应潜在的利用尝试。如果无法立即升级，请考虑实施 Web 应用程序防火墙 (WAF) 以过滤针对易受攻击端点的恶意流量。
Actualice Kestra a la versión 1.3.7 o superior para mitigar la vulnerabilidad de inyección SQL que podría permitir la ejecución remota de código. Asegúrese de aplicar la actualización en todos los entornos donde se utiliza Kestra, especialmente en despliegues Docker-Compose.
漏洞分析和关键警报直接发送到您的邮箱。
1.3.7 之前的 Kestra 的所有版本都存在此 SQL 注入漏洞。
检查您正在使用的 Kestra 版本。如果版本早于 1.3.7，则存在漏洞。
这是一个 PostgreSQL 函数，允许从 SQL 查询执行操作系统命令，这可能被利用来执行任意代码。
实施 Web 应用程序防火墙 (WAF) 以过滤恶意流量，并监控 Kestra 日志中是否存在可疑活动。
有漏洞扫描器可以检测此 SQL 注入。请参阅 Kestra 文档以获取更多信息。
CVSS 向量
上传你的 Dockerfile 文件，立即知道是否受影响。