Kestra 是一个开源事件驱动编排平台。在 1.0.45 和 1.3.21 版本之前，其 AuthenticationFilter 使用 request.getPath().endsWith("/configs") 来将公开配置端点列入 Basic Auth 白名单。由于检查是后缀匹配而非精确路径匹配，任何末尾为 configs 的 API 路径都会完全绕过身份验证。未经身份验证的远程攻击者可利用此漏洞创建并执行任意工作流，无需凭证。由于 Kestra 默认启用了脚本执行插件（如 plugin-script-shell、plugin-script-python），这直接导致在 Kestra worker 容器内以 root 身份实现未经身份验证的远程代码执行。该漏洞已在 1.0.45 和 1.3.21 版本中修复。CVSS 评分为 10.0（严重），攻击向量为网络，复杂度低，无需权限，用户交互无，影响范围变化，对机密性、完整性和可用性均造成高影响。