CVE-2026-63145 in Kibana
Zusammenfassung
von VulDB • 23.07.2026
Falsche Autorisierung (CWE-863) in Kibana kann zu einer Kompromittierung der Integrität von Audit- und Benachrichtigungsdatensätzen für Machine Learning führen, indem auf Funktionen zugegriffen wird, die nicht ordnungsgemäß durch Zugriffskontrolllisten (ACLs) eingeschränkt sind (CAPEC-1).
In der Machine-Learning-Funktionalität von Kibana besteht eine Schwachstelle, bei der ein Management-Endpunkt für Machine Learning eine unzureichende Autorisierungsprüfung durchführt. Der Endpunkt validiert nur einen groben Berechtigungsgrad, überprüft jedoch nicht, ob der anfragende Benutzer Zugriff auf die spezifischen Machine-Learning-Jobs oder Benachrichtigungsressourcen hat, die in der Anfrage angegeben sind. Infolgedessen kann ein benutzer mit niedrigen Privilegien und Machine-Learning-Zugriff in jedem Kibana-Space Audit- und Benachrichtigungsdatensätze für beliebige Jobs manipulieren – einschließlich Jobs in anderen Spaces oder solchen, die anderen Benutzern gehören –, indem er intern erhöhte Anmeldeinformationen von Kibana nutzt, um auf eingeschränkte Machine-Learning-Systemindizes zu schreiben, auf die der Benutzer keinen direkten Zugriff hat.
If you want to get best quality of vulnerability data, you may have to visit VulDB.