Elastic Kibana opravuje 2 zranitelnosti

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Elastic Kibana opravuje 2 zranitelnosti

Elastic verzemi 8.18.8, 8.19.5, 9.0.8 a 9.1.5 opravuje 2 zranitelnosti v produktu Kibana [1].

Elastic Kibana - XSS (CVE-2025-25018)

CVSS 8.7 (High)

Autentizovanému vzdálenému útočníkovi s rolí zahrnující všechna oprávnění v sekci Management pro Fleet a Integrations je kvůli nesprávné neutralizaci vstupu umožněno vykonat XSS útok [1].

Zranitelnost se nachází v produktu:

Kibana; >=7.0.0, <=7.17.29; >=8.0.0, <=8.18.7; >=8.19.0, <=8.19.4; >=9.0.0, <=9.0.7; >=9.1.0, <=9.1.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Více informací:

CVE-2025-25018 na cve.org, NVD
CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 6. 10. 2025.

Elastic Kibana - XSS (CVE-2025-25017)

CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli nesprávné neutralizaci vstupu při generování webové stránky ve vizualizacích Vega umožněno vykonat XSS útok. Pokud nelze aktualizovat, můžete vizualizace Vega zakázat dle [2].

Zranitelnost se nachází v produktu:

Kibana; >=7.0.0, <=7.17.29; >=8.0.0, <=8.18.7; >=8.19.0, <=8.19.3; >=9.0.0, <=9.0.6; >=9.1.0, <=9.1.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:N