Execução de scripts pelo nome de arquivos de namespace
O Kestra armazena o nome do arquivo sem validar seus caracteres e o devolve pela API sem alteração. No diálogo de exclusão, esse nome entra em uma mensagem com HTML que o componente FileExplorer.vue renderiza usando v-html. Como o vue-i18n não está configurado para escapar os parâmetros dessa mensagem, um nome preparado com código malicioso pode executar JavaScript no seu navegador ao abrir o diálogo, mesmo sem confirmar a exclusão. O script atua com os privilégios da sua sessão. O aviso também identifica a mesma possibilidade no diálogo de renomeação.
Casos de uso afetados
- Ao administrar arquivos de um namespace compartilhado, você pode abrir o diálogo de exclusão de um arquivo criado por outro acesso com permissão de gravação. A listagem mostra o nome como texto, mas a mensagem de confirmação interpreta o conteúdo como HTML e permite a execução do script.
- Um workflow que utiliza io.kestra.plugin.core.namespace.UploadFiles também pode gravar o nome malicioso. As chaves de filesMap compõem o caminho do arquivo sem alteração, permitindo que a criação ocorra pelo workflow, inclusive em outro namespace, conforme demonstrado no aviso. Você fica exposto ao abrir o diálogo de exclusão ou renomeação desse arquivo.
Confira na sua instância
Confira a versão efetivamente executada pela instância e compare-a com a faixa < 1.3.36. Revise as permissões para criar arquivos nos namespaces e os workflows com io.kestra.plugin.core.namespace.UploadFiles, verificando as chaves de filesMap e o namespace de destino. Examine os nomes retornados pela API sem abrir os diálogos de arquivos suspeitos na instalação afetada. Após aplicar a atualização, use um arquivo de teste com marcação HTML inofensiva em homologação e confira se os diálogos de exclusão e renomeação exibem o nome como texto, sem produzir elementos HTML a partir dele.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| io.kestra:kestra (Maven) | < 1.3.36 | 1.3.36 |
O título original menciona versões até 1.3.31, mas os campos estruturados da API declaram < 1.3.36 e correção em 1.3.36. Essas são as faixas preservadas nesta ficha. O aviso classifica a gravidade como alta e não informa pontuação CVSS. Restringir a criação de arquivos pela interface e por workflows reduz as possibilidades de inserir nomes maliciosos, mas não corrige a renderização dos nomes já armazenados.
