Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Elastic opravuje 10 zraniteľností
Elastic opravuje 10 zraniteľností v produkte Kibana, a to verziami 8.19.16, 9.2.8, 9.3.5 a 9.4.2. Najzávažnejšie zraniteľnosti nájdete popísané nižšie, zvyšné na [1].
Autentizovanému vzdialenému útočníkovi s oprávnením na správu konektorov je umožnené pomocou zraniteľnosti SSRF a špeciálne upraveného Webhook konektora obísť kontrolu odchádzajúcich spojení definovanú v konfigurácii xpack.actions.allowedHosts a odosielať požiadavky na blokované ciele [2].
Zraniteľnosť sa nachádza v produkte:
- Kibana; >=9.0.0, <=9.2.7; >=9.3.0, <=9.3.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2026-42398 na cve.org, NVD
- CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 28. 5. 2026.
Autentizovanému vzdialenému útočníkovi s oprávnením na správu Fleet (fleet-all) je kvôli nedostatočnej validácii vstupu umožnené neoprávnene zvýšiť privilégiá Elastic agentov, a tým získať prístup na čítanie a zápis do citlivých bezpečnostných indexov Elasticsearch [3].
Zraniteľnosť sa nachádza v produkte:
- Kibana; >=8.0.0, <=8.19.15; >=9.0.0, <=9.3.4; >=9.4.0, <=9.4.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2026-49095 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 28. 5. 2026.
Odkazy
Za CESNET, z.s.p.o. Táňa Macháčková dňa 2. 6. 2026.