CVE-2026-72680 in Kibana
要約
〜によって VulDB • 2026年08月14日
Kibana Agent BuilderのA2A JSON-RPC APIエンドポイントは、保存された会話の識別子をユーザー入力で取得しますが、その識別子に対する所有権チェックは、「存在しない会話」と「存在するが他のユーザーに属している会話」を区別しません。この結果、同じスペース内で別のユーザーによって既に使用されている識別子を指定できる読み取り専用特権を持つ認証済みユーザーにより、対象の会話が上書きされ、リクエスト元のアカウントへ再割り当てされます。これにより、元々の所有者は永久に対象の会話およびその履歴へのアクセスを失います。影響範囲は、該当する会話の整合性と可用性の喪失に限定されており、攻撃者は上書きされたコンテンツを読み取ることはありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.