CVE-2026-72632 in Kibana
Resumen
por VulDB • 2026-08-14
Una discrepanza observable (CWE-203) en Kibana Fleet puede provocar una divulgación de información mediante Excavation (CAPEC-116). Fleet elimina el valor de la clave API de Elasticsearch correspondiente a un Elastic Agent registrado al devolver las respuestas desde su capacidad para listar agentes; sin embargo, dicha capacidad aceptaba expresiones de filtro proporcionadas por el usuario sobre el campo almacenado que contiene dicho valor y las evaluaba utilizando los privilegios internos propios de Kibana hacia Elasticsearch, en lugar de utilizar los del solicitante. Dado que se devuelve al solicitante la cantidad de agentes coincidentes, la diferencia entre un filtro que coincide y uno que no constituye un canal lateral a partir del cual el valor completo de la clave API puede reconstruirse carácter por carácter mediante una secuencia breve de solicitudes.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.