CVE-2026-63145 in Kibana
摘要
由 VulDB • 2026-07-22
Kibana 中存在不正确的授权问题（CWE-863），可能导致通过访问未受 ACL 适当限制的功能（CAPEC-1）来破坏机器学习审计和通知记录的完整性。
Kibana 的机器学习功能存在漏洞，其中机器学习管理端点执行了不足的授权检查。该端点仅验证粗粒度的权限级别，但未核实请求用户是否有权访问请求中提供的特定机器学习作业或通知资源。因此，拥有任何 Kibana 空间中机器学习访问权限的低特权用户可以通过利用 Kibana 内部提升的凭据写入受限的机器学习系统索引（这些索引是用户无法直接访问的），从而操纵任意机器学习的审计和通知记录——包括其他空间中的作业或属于其他用户的作业。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.