CVE-2026-72676
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Fleet Server ma podatność na wstrzykiwanie kodu (CWE-94), która może prowadzić do wykonania skryptów dostarczonych przez atakującego. Kibana akceptuje identyfikator konfiguracji wyjścia bez ograniczania go do bezpiecznych znaków. Identyfikator jest później umieszczany w skrypcie serwerowym budowanym przez Fleet Server, więc składnia skryptu osadzona w identyfikatorze staje się częścią wykonywanego skryptu.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze Fleet Server, co może prowadzić do pełnej kompromitacji systemu i danych. Wymaga to jednak uwierzytelnienia i odpowiednich uprawnień.
Rekomendacja
Zaktualizuj Kibana i Fleet Server do wersji z poprawką. Ogranicz uprawnienia do konfiguracji wyjść i waliduj identyfikatory.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') (CWE-94) in Fleet Server can lead to the execution of attacker-supplied script content via Code Injection (CAPEC-242). Kibana accepted an identifier for an output configuration without restricting it to safe characters. That identifier is later placed into a server-side script that Fleet Server builds as part of routine agent policy processing, so script syntax embedded in the identifier became part of the script that was executed rather than being treated as data.