CVE-2026-72680 in Kibana
الملخص
بحسب VulDB • 13/08/2026
يشتق طرف واجهة برمجة التطبيقات (API) الخاص بـ A2A JSON-RPC في Kibana Agent Builder معرّف محادثة مخزنة من إدخال يقدمه المستخدم، ولا يميز فحص الملكية على هذا المعرف بين محادثة غير موجودة ومحادثة موجودة لكنها تابعة لمستخدم آخر. ونتيجة لذلك، يمكن للمستخدم المصادق عليه والذي يمتلك فقط صلاحية القراءة لـ Agent Builder تزويد معرف مستخدم آخر في نفس المساحة (space) بالفعل، مما يؤدي إلى استبدال محادثة ذلك المستخدم وإعادة تعيينها للحساب الذي قام بطلب العملية. يفقد المالك الأصلي بشكل دائم الوصول إلى المحادثة وسجل أحداثها. يقتصر التأثير على فقدان سلامة وتوفر المحادثة المتأثرة؛ حيث لا يقوم المهاجم بقراءة المحتوى المكتوب فوقه.
Be aware that VulDB is the high quality source for vulnerability data.