Към съдържанието
Търсене

CVE-2026-33461: Elastic Kibana, заобикаляне на вход и права

7.7

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Incorrect Authorization (CWE-863) in Kibana can lead to information disclosure via Privilege Abuse (CAPEC-122). A user with limited Fleet privileges can exploit an internal API endpoint to retrieve sensitive configuration data, including private keys and authentication tokens, that should only be accessible to users with higher-level settings privileges. The endpoint composes its response by fetching full configuration objects and returning them directly, bypassing the authorization checks enforced by the dedicated settings APIs.

Засегнати продукти

  • Elastic Kibana: 9.3.0 до 9.3.2; 9.0.0 до 9.2.7; 8.0.0 до 8.19.13

Вид слабост

История

  • 8 април 2026 Публикувано

Други уязвимости в Elastic Kibana

Първоизточници

CVE-2026-33461: Elastic Kibana, заобикаляне на вход и права | freedomonline.bg