Intel

CVE-2026-38428

Kestra v1.3.3 und früher ist anfällig für SQL-Injektionen (CVE-2026-38428)

criticalEPSS 0.4 %

Beschreibung

Kestra v1.3.3 und früher ist anfällig für SQL-Injektionen. Die Schwachstelle tritt auf, weil benutzerkontrollierte Eingaben aus einem GET-Parameter direkt in eine SQL-Anfrage eingefügt werden, ohne ordnungsgemäße Bereinigung oder Parametrisierung. Dadurch können Angreifer beliebige SQL-Ausdrücke in die Datenbankabfrage injizieren.

Quelle: NVDCVEORGCVELISTV5EUVDOSV

Metriken

Severity
critical
Priority-Score
90.83
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.8
Quelle: nvd-v3
CVSS v3
9.8
CVSS v4
—
EPSS-Perzentil
30.0 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-05-05 19:16 UTC
CWE
—

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Translated2026-07-24 21:10 UTC· nvd@nist.gov
    • Translation: Title: Kestra, Description: Kestra v1.3.3 y anteriores es vulnerable a inyección SQL. La vulnerabilidad ocurre porque la entrada controlada por el usuario de un parámetro GET se concatena directamente en una consulta SQL sin la sanitización o parametrización adecuadas. Como resultado, los atacantes pueden inyectar expresiones SQL arbitrarias en la consulta de la base de datos.

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • kestra

    kestra1.1.0 – 1.3.7

  • kestra

    kestra1.0.35

Quellen & Referenzen

Verknüpfte Empfehlungen

IDCVE-2026-38428