CVE-2026-49096
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Nieobsłużony wyjątek w Kibana Cases może prowadzić do odmowy usługi poprzez manipulację danymi wejściowymi. Złośliwa składnia linku zapisana w komentarzu do przypadku nie została odrzucona ani oczyszczona podczas formatowania do wyświetlenia, a wynikający z tego nieobsłużony błąd uniemożliwił wyświetlenie danego przypadku. Uwierzytelniony użytkownik z uprawnieniami do komentowania mógł zapisać taki komentarz, po czym ten przypadek stał się niedostępny dla wszystkich użytkowników, dopóki komentarz nie został usunięty.
Ocena ryzyka
Atakujący może trwale zablokować dostęp do konkretnych przypadków (cases) w Kibana, co zakłóca pracę zespołów korzystających z tej funkcji. Nawet pojedynczy złośliwy komentarz może uniemożliwić wyświetlenie przypadku wszystkim użytkownikom, prowadząc do przestojów operacyjnych.
Rekomendacja
Zastosuj aktualizację Kibana do wersji, która zawiera poprawkę dla tej podatności. Dodatkowo ogranicz uprawnienia do komentowania tylko do zaufanych użytkowników i monitoruj komentarze pod kątem podejrzanej składni.
Oryginalny opis (angielski, źródło NVD)
Uncaught Exception (CWE-248) in Kibana Cases can lead to denial of service via Input Data Manipulation (CAPEC-153). Malformed link syntax stored in a case comment was not rejected or sanitized when the comment was later formatted for display, and the resulting unhandled error prevented the affected case from being displayed. An authenticated user holding privileges to comment on a case could store such a comment, after which that case became inaccessible to every user who opened it until the stored comment was removed.