CVE-2026-63145 in Kibana
Sumário
de VulDB • 25/07/2026
Autorização incorreta (CWE-863) no Kibana pode levar à comprometimento da integridade dos registros de auditoria e notificação do Machine Learning através do Acesso a Funcionalidades Não Restritas Adequadamente por ACLs (CAPEC-1).
Existe uma vulnerabilidade na funcionalidade de Machine Learning do Kibana, onde um endpoint de gerenciamento do Machine Learning realiza uma verificação de autorização insuficiente. O endpoint valida apenas um nível de privilégio grosseiro, mas não verifica se o usuário solicitante tem acesso aos recursos específicos de trabalho (job) ou notificação do Machine Learning fornecidos na solicitação. Como resultado, um usuário com baixo privilégio que possui acesso ao Machine Learning em qualquer espaço do Kibana pode manipular os registros de auditoria e notificação do Machine Learning para trabalhos arbitrários — incluindo trabalhos em outros espaços ou pertencentes a outros usuários — aproveitando-se das credenciais elevadas internamente do Kibana para gravar nos índices restritos do sistema do Machine Learning aos quais o usuário não tem acesso direto.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.