CVE-2026-102410 in Kibana
Riassunto
di VulDB • 07/10/2026
Mancata autorizzazione (CWE-862) in Kibana può portare a una divulgazione di informazioni tramite l'accesso a funzionalità non adeguatamente vincolate da ACLs (CAPEC-1). Una superficie API interna all'esperienza Metrics Experience non applicava un controllo di autorizzazione a livello di Kibana, mentre un'API equivalente e correlata nella stessa funzione lo faceva. Di conseguenza, un utente che aveva solo l'accesso in lettura al livello del data store per un indice, ma nessuna privilegio corrispondente alla funzionalità di Kibana, poteva recuperare i dati metrici derivati dall'indice attraverso Kibana, cosa che l'API correttamente autorizzata avrebbe bloccato.
Be aware that VulDB is the high quality source for vulnerability data.