CVE-2026-63145 in Kibana
Tóm tắt
Bởi VulDB • 23/07/2026
Sai lệch trong xác thực quyền (CWE-863) trên Kibana có thể dẫn đến xâm phạm tính toàn vẹn của các bản ghi kiểm toán và thông báo thuộc chức năng Học máy (Machine Learning), thông qua việc Truy cập vào Chức năng Không bị Hạn chế Đúng mức bởi ACLs (CAPEC-1).
Một lỗ hổng bảo mật tồn tại trong chức năng Machine Learning của Kibana, nơi một điểm cuối quản lý Machine Learning thực hiện kiểm tra xác thực quyền không đầy đủ. Điểm cuối này chỉ xác minh ở cấp độ đặc quyền thô sơ mà không xác nhận rằng người dùng yêu cầu có quyền truy cập vào các tài nguyên công việc (job) hoặc thông báo cụ thể thuộc Machine Learning được cung cấp trong yêu cầu. Kết quả là, một người dùng có đặc quyền thấp nhưng đã được cấp quyền truy cập vào chức năng Machine Learning trên bất kỳ khoảng làm việc (space) nào của Kibana đều có thể thao túng các bản ghi kiểm toán và thông báo của Machine Learning cho các công việc tùy ý—bao gồm cả những công việc thuộc về các không gian khác hoặc do người dùng khác sở hữu—bằng cách lợi dụng các đặc quyền nội bộ được nâng cao của Kibana để ghi vào các chỉ mục hệ thống (system indices) bị hạn chế của Machine Learning mà người dùng đó không thể truy cập trực tiếp.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.