Kibana < / < 多个漏洞（ESA-2026-92 / / ESA-2026-98 / ESA-2026-104 ） ESA-2026-110ESA-2026-105ESA-2026-100ESA-2026-1069.4.59.x8.19.208.x

high Nessus 插件 ID 338743

语言：

简介

远程主机受到多个漏洞影响。

描述

远程主机上安装的 Kibana 版本低于 8.x8.19.20或9.x9.4.5低于。因此，如公告、 ESA-2026-106ESA-2026-98ESA-2026-110ESA-2026-100ESA-2026-105ESA-2026-104和公告所述ESA-2026-92，会受到多个漏洞的影响。

- Kibana 中缺少授权（CWE-862）可通过特权滥用导致跨空间信息泄露和未经授权的数据修改（CAPEC-122）。Kibana Machine Learning 使用提升的内部权限执行其 Elasticsearch 操作，并依靠按请求空间过滤器将一个空间的机器学习数据与另一个空间分开。部分机器学习功能未应用该筛选器，因此从一个空间发出的操作是针对部署中每个空间的机器学习数据执行的。（CVE-2026-72675）

- Kibana 中无限制或节流的资源分配（CWE-770）可通过过度分配导致拒绝服务（CAPEC-130）。拥有警报功能只读权限的经过身份验证的用户可以提交特制的格式错误负载，从而造成 Kibana 进程消耗过多资源。单个请求就足以让 Kibana 无法为所有用户提供请求，直到进程重新启动。（CVE-2026-72651）

- Kibana 中无限制或节流的资源分配（CWE-770）可通过过度分配导致拒绝服务（CAPEC-130）。由仅保留低权限访问权限的经过身份验证的用户提交给 Kibana 可视化功能的特别构建的畸形有效负载在使用前未经过正确验证。处理请求会造成 Kibana 进程中无限的内存增长，一旦可用内存耗尽，主机将终止该增长。然后，在重新启动该服务之前，所有用户都无法使用 Kibana。（CVE-2026-72659）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。