Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Elastic Kibana opravuje 2 zraniteľnosti

Elastic vo verziách 8.18.8, 8.19.5, 9.0.8 a 9.1.5 opravuje 2 zraniteľnosti v produkte Kibana [1].

Elastic Kibana - XSS (CVE-2025-25018)
CVSS 8.7 (High)

Autentifikovanému vzdialenému útočníkovi s rolou zahŕňajúcou všetky oprávnenia v sekcii Management pre Fleet a Integrations je kvôli nesprávnej neutralizácii vstupu umožnené vykonať XSS útok [1].

Zraniteľnosť sa nachádza v produkte:

  • Kibana; >=7.0.0, <=7.17.29; >=8.0.0, <=8.18.7; >=8.19.0, <=8.19.4; >=9.0.0, <=9.0.7; >=9.1.0, <=9.1.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-25018 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 10. 2025.

Elastic Kibana - XSS (CVE-2025-25017)
CVSS 8.2 (High)

Neautentifikovanému vzdialenému útočníkovi je kvôli nesprávnej neutralizácii vstupu pri generovaní webovej stránky vo vizualizáciách Vega umožnené vykonať XSS útok. Ak nie je možné aktualizovať, môžete vizualizácie Vega zakázať podľa [2].

Zraniteľnosť sa nachádza v produkte:

  • Kibana; >=7.0.0, <=7.17.29; >=8.0.0, <=8.18.7; >=8.19.0, <=8.19.3; >=9.0.0, <=9.0.6; >=9.1.0, <=9.1.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:N

Viac informácií:

  • CVE-2025-25017 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 10. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 13. 10. 2025.

CESNET, z.s.p.o. Logo