XSS armazenado nos links Markdown da descrição de Flows
O renderizador do Kestra transforma a sintaxe personalizada [[link]] em um elemento HTML e incorpora os atributos fornecidos na descrição sem restringi-los nem sanitizá-los adequadamente. Um atacante com permissão para criar ou editar um Flow pode gravar um atributo de evento, como onmouseover, que executa JavaScript quando você abre ou interage com a descrição. Esse XSS armazenado (cross-site scripting) pode permitir ações pela sua sessão e acesso às informações que suas permissões tornam visíveis na interface.
Casos de uso afetados
- Você revisa Flows criados por outros autores e abre o ícone de descrição na listagem. Uma descrição adulterada pode executar JavaScript no seu navegador, mesmo que o Flow nunca tenha sido executado.
- Você administra uma instalação compartilhada na qual autores podem editar Flows dentro de um namespace, mas possuem menos permissões que você. Ao consultar uma descrição maliciosa, sua sessão pode permitir ao código injetado alcançar funcionalidades administrativas ou de outros namespaces.
Confira na sua instância
Confira a versão instalada do Kestra e compare-a com 1.3.22, o valor afetado declarado pela API. Examine o campo description no YAML dos Flows, sem abrir a descrição renderizada de conteúdo suspeito. Procure a sintaxe [[link]] acompanhada de atributos de evento, especialmente onmouseover, ou de style com posicionamento sobre a página. Revise também quais acessos permitem criar ou editar esses Flows e quais administradores consultam suas descrições. Para aplicar a correção, atualize para a versão 1.3.24 informada no aviso e confirme a versão efetivamente instalada. A ausência desses atributos nas descrições examinadas não comprova que o renderizador recebeu a correção.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| kestra-io/kestra | 1.3.22 | 1.3.24 |
O aviso também identifica a falha como CVE-2026-55839. A exploração documentada usa o plugin de links personalizados do Markdown e não exige executar o Flow. A API informa somente 1.3.22 como versão afetada, sem declarar um intervalo para outras versões.
