Zpětná vazba k reportu

Autentizovaný vzdálený útočník s právem nasadit trénovaný model může pomocí upraveného modelu zapisovat mimo hranice alokované paměti, což může vést k pádu procesu nebo spuštění kódu [2].

Zranitelnost se nachází v produktu:

• Elasticsearch; >=8.19.0, <8.19.20; >=9.4.0, <9.4.5; 9.5.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2026-72642 na cve.org, NVD
• CWE-823: Use of Out-of-range Pointer Offset na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 8. 2026.

Autentizovaný vzdálený útočník s oprávněním zapisovat detekční pravidla může v důsledku chybějící autorizace neoprávněně spouštět akce na spravovaných hostech, což může vést k úniku dat i k neoprávněným změnám jejich stavu [3].

Zranitelnost se nachází v produktu:

• Kibana; >=8.5.0, <8.19.20; >=9.0.0, <9.4.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2026-72665 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 8. 2026.

Autentizovaný vzdálený útočník může v důsledku nedostatečného ošetření identifikátoru výstupní konfigurace vložit kód do skriptu spouštěného na serveru [4].

Zranitelnost se nachází v produktu:

• Fleet Server; >=8.5.0, <8.19.20; >=9.0.0, <9.4.5; >=9.5.0, <9.5.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2026-72676 na cve.org, NVD
• CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 8. 2026.

Autentizovaný vzdálený útočník omezený na vlastní namespace může prostřednictvím anotace zneužít operátor s vyššími oprávněními, aby zkopíroval secret z libovolného jiného namespace [5].

Zranitelnost se nachází v produktu:

• Elastic Cloud on Kubernetes; <3.5.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2026-72640 na cve.org, NVD
• CWE-441: Unintended Proxy or Intermediary ('Confused Deputy') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 8. 2026.