XSS refletido na interface de execuções expõe credenciais de administrador
A interface de execuções aceita o conteúdo de sort na URL sem sanitização. Um campo de ordenação inválido reaparece na resposta de erro 422, que a interface encaminha para uma notificação renderizada como Markdown com HTML habilitado. Essa sequência permite executar JavaScript no navegador. Como o cookie BASIC_AUTH guarda as credenciais em Base64 e não tem o atributo HttpOnly, o código consegue lê-las. Um atacante sem autenticação pode induzir você a abrir o link durante uma sessão administrativa e reutilizar as credenciais capturadas para alterar fluxos ou iniciar execuções.
Casos de uso afetados
- Você administra o Kestra de código aberto com Basic Auth e abre um link para /ui/main/executions enquanto está autenticado. Uma ordenação adulterada pode executar código pela notificação de erro e expor suas credenciais administrativas.
Confira na sua instância
Confira a versão efetivamente em execução e compare-a com a faixa < 1.3.36. Para revisar a notificação após a atualização, use um ambiente isolado com credenciais fictícias e informe em sort um campo inválido contendo apenas uma marcação HTML inofensiva. Observe a resposta na aba de rede e o conteúdo da notificação: a marcação deve ser recusada ou exibida como texto, sem criar elementos HTML. Essa conferência proposta verifica a renderização do erro e complementa a checagem da versão. Não use credenciais administrativas de produção nesse teste.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| Kestra | < 1.3.36 | 1.3.36 |
O comunicado descreve a reprodução no Kestra de código aberto 1.3.30, mas a faixa afetada declarada abrange < 1.3.36. A correção disponível no projeto exige que você atualize a instância.
