Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je v prostředí Kibana ve funkcionalitě Workflows v důsledku nedostatečného ošetření speciálních prvků v šablonovacím mechanismu umožněno číst libovolné soubory ze souborového systému serveru a provést SSRF útok [1].

Zranitelnost se nachází v produktu:

• Kibana; >=9.0, <9.3.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Více informací:

• CVE-2026-26938 na cve.org, NVD
• CWE-1336: Improper Neutralization of Special Elements Used in a Template Engine na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2026.

Autentizovanému vzdálenému útočníkovi s oprávněními pouze pro zobrazení je v prostředí Kibana v důsledku nedostatečné validace množství vstupních údajů umožněno provést DoS útok zasíláním speciálně upraveného požadavku.

Zranitelnost se nachází v produktu:

• Kibana; >=8.18.0, <8.19.12

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2026-26934 na cve.org, NVD
• CWE-1284: Improper Validation of Specified Quantity in Input na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2026.

Neautentizovanému vzdálenému útočníkovi je v prostředí Packetbeat v důsledku nedostatečné validace indexu pole při zpracování protokolu PostgreSQL umožněno provést DoS útok zasláním speciálně upraveného paketu. Zranitelnost se týká pouze instancí, kde je explicitně povolen a nakonfigurován parser protokolu pgsql [3].

Zranitelnost se nachází v produktu:

• Packetbeat; >=8.0.0, <8.19.11; >=9.0.0, <9.2.5

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2026-26932 na cve.org, NVD
• CWE-129: Improper Validation of Array Index na cwe.mitre.org

Zranitelnost byla veřejně oznámena 26. 2. 2026.