CVE-2026-72658
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność na Cross-Site Request Forgery w Kibana umożliwia eskalację uprawnień. Użytkownik z uprawnieniami do tworzenia wizualizacji może zapisać specjalnie spreparowaną wizualizację Vega, która po otwarciu przez innego użytkownika wysyła uwierzytelnione żądania do Kibana w kontekście sesji ofiary.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień, ponieważ atakujący może wykonywać działania w imieniu ofiary, co może prowadzić do nieautoryzowanego dostępu do danych lub modyfikacji konfiguracji.
Rekomendacja
Zaleca się wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF, oraz ograniczenie możliwości tworzenia wizualizacji Vega dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CWE-352) in Kibana can lead to privilege escalation via Cross Site Request Forgery (CAPEC-62). A user who is permitted to create visualizations can save a specially crafted Vega visualization that, when it is opened by another user, causes authenticated requests to be issued to Kibana in the context of the viewing user's session.