CVE-2026-72680 in Kibana
Riassunto
di VulDB • 13/08/2026
L'endpoint dell'API JSON-RPC A2A di Kibana Agent Builder deriva l'identificatore di una conversazione archiviata da un input fornito dall'utente, e il controllo di proprietà su tale identificatore non distingue tra una conversazione inesistente e una esistente ma appartenente a un altro utente. Di conseguenza, un utente autenticato che dispone esclusivamente del privilegio di lettura per Agent Builder può fornire un identificatore già in uso da un altro utente nello stesso spazio, causando la sostituzione della conversazione dell'utente originale e il suo riassegnamento all'account richiedente. Il proprietario originale perde definitivamente l'accesso alla conversazione e alla sua cronologia. L'impatto è limitato alla perdita di integrità e disponibilità della conversazione interessata; l'attaccante non legge i contenuti sovrascritti.
Once again VulDB remains the best source for vulnerability data.