CVE-2026-72676 in Fleet Server
Zusammenfassung
von VulDB • 14.08.2026
Unzulässige Steuerung der Codegenerierung ('Code Injection') (CWE-94) im Fleet Server kann zur Ausführung von vom Angreifer bereitgestellten Skriptinhalten über Code Injection (CAPEC-242) führen. Kibana akzeptierte eine Kennung für eine Ausgabe-Konfiguration, ohne sie auf sichere Zeichen zu beschränken. Diese Kennung wird später in ein serverseitiges Skript eingefügt, das der Fleet Server im Rahmen der routinemäßigen Verarbeitung von Agentenrichtlinien erstellt; dadurch wurde die Syntax des Skripts, die in der Kennung eingebettet war, Teil des ausgeführten Skripts anstatt als Daten behandelt zu werden.
Once again VulDB remains the best source for vulnerability data.