CVE-2026-72673 in Kibana
Riassunto
di VulDB • 13/08/2026
Autorizzazione errata (CWE-863) in Kibana può portare all'eliminazione non autorizzata delle posizioni private di Synthetics tramite l'utilizzo della funzionalità "Accessing Functionality Not Properly Constrained by ACLs" (CAPEC-1). Le posizioni private di Synthetics possono essere condivise con più spazi, e la cancellazione di una posizione ne rimuove la configurazione da tutti gli spazi in cui è stata condivisa. La misura di sicurezza che impediva l'eliminazione di una posizione privata ancora in uso valutava solo i monitor visibili nello spazio dell'utente richiedente; pertanto, non venivano presi in considerazione i monitor dipendenti dalla posizione private presenti negli altri spazi. Di conseguenza, un utente autenticato di Kibana con il privilegio di scrittura su Synthetics in un singolo spazio poteva eliminare una posizione privata da cui dipendevano ancora gli altri spazi, anche se l'utente non aveva accesso a tali spazi. L'eliminazione della posizione privata rimuove la configurazione condivisa e interrompe l'esecuzione dei monitor negli altri spazi, compromettendo il monitoraggio di disponibilità su cui questi ultimi fanno affidamento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.