CVE-2026-72669
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Stan przechowywany przez Kibana dla przepływu Observability Onboarding nie jest powiązany z użytkownikiem, który go utworzył, a trasy odczytujące i aktualizujące ten stan nie weryfikują własności. Uwierzytelniony użytkownik z ogólnym dostępem do odczytu przestrzeni może odkryć przepływy innych użytkowników, odczytać ich stan i zapisać dowolne dane. Zmodyfikowany przepływ może również spowodować błąd serwera w widoku onboardingu właściciela.
Ocena ryzyka
Atakujący może manipulować danymi innych użytkowników, co może prowadzić do zakłóceń w pracy i potencjalnego wycieku informacji.
Rekomendacja
Zastosuj poprawki bezpieczeństwa dostarczone przez Elastic dla Kibana.
Oryginalny opis (angielski, źródło NVD)
The state that Kibana stores for an Observability Onboarding flow is not bound to the user who created the flow, and the routes that read and update that state do not verify ownership. An authenticated user who holds only generic read access to the space can therefore discover the onboarding flows of other users, read their onboarding state, and write arbitrary progress data into them. A tampered flow can also cause the owner's onboarding view to fail with a server error.