遠端主機上安裝的 Kibana 為 8.19.16 或 9.3.5 之前版本。因此，它會受到 、 、 ESA-2026-33ESA-2026-34和ESA-2026-36公告中ESA-2026-30所述多個弱點的影響。

  - 在 Kibana 的儀表板管理功能中發現一個路徑遊走弱點。具有有限權限的已驗證使用者可以使用特製的識別碼建立儀表板。
    當管理員隨後嘗試透過 Kibana 介面刪除此儀表板時，刪除要求會重新導向至意外的內部端點，可能導致未經授權刪除使用者帳戶或其他資源。惡意利用需要管理員對惡意製作的儀表板物件執行刪除動作。（CVE-2026-33462）

  - 在 Kibana 中對資源到期或終止 （CWE-672） 進行操作可能會導致未經授權的資訊洩露。驗證到期時間戳記的方式中的邏輯錯誤允許有時間限制的存取權杖在其預期的有效期間之後仍然可用，從而使擁有權杖的未經身份驗證的執行者能夠在到期後擷取相關聯的內容。（CVE-2026-33463）

  - Kibana 中不受控制的資源消耗 （CWE-400） 可能會透過過度分配 （CAPEC-130） 導致拒絕服務。經過驗證的低權限使用者可能會提交包含深度鏈結函式呼叫的特製 Timelion 視覺化運算式，導致 Kibana 耗用指數級增加的記憶體量。產生的資料結構會無限增長，耗盡可用記憶體，並導致 Kibana 服務當機，所有使用者都無法使用。
    (CVE-2026-42399)

  - 在 Kibana 中產生網頁期間不正確的輸入無效化 （CWE-79） 可能會導致儲存的 HTML 插入。具有 Elasticsearch 索引寫入權限的使用者可能會保留特製的標記，當其他使用者隨後透過受影響的 Kibana 檢視呈現時，該標記未得到充分清理。
    成功利用此攻擊可能會導致未經授權的 UI 操控，以及從檢視使用者的瀏覽器工作階段發出傳出網路要求。（CVE-2026-42401）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Kibana 版本低于 8.19.16 或 9.3.5。因此，如公告、ESA-2026-33、ESA-2026-34ESA-2026-36和公告所述ESA-2026-30，会受到多个漏洞的影响。

  - 在 Kibana 的仪表盘管理功能中发现一个路径遍历漏洞。拥有有限权限的经身份验证用户可以使用特制的标识符创建仪表盘。
    当管理员随后尝试通过 Kibana 界面删除此仪表盘时，删除请求会重定向到非预期的内部端点，从而可能导致未经授权地删除用户帐户或其他资源。要利用此漏洞，需要管理员对恶意构建的仪表盘对象执行删除操作。（CVE-2026-33462）

  - 在 Kibana 中对到期或终止后的资源操作 （CWE-672） 可导致未经授权的信息泄露。到期时间戳的验证方式中存在逻辑错误，允许有时间限制的访问令牌在其预期的有效期之后仍然可用，从而允许拥有令牌的未经认证的执行者在到期后检索关联的内容。（CVE-2026-33463）

  - Kibana 中不受控制的资源消耗 （CWE-400） 可通过过量分配导致拒绝服务 （CAPEC-130）。经身份验证的低特权用户可提交含有深度链接函数调用的特制 Timelion 可视化表达式，造成 Kibana 消耗的内存量呈指数级增长。生成的数据结构会无限增长，耗尽可用内存，并导致 Kibana 服务崩溃并变得不可供所有用户使用。
    (CVE-2026-42399)

  - 在 Kibana 中网页生成期间，未正确抵消输入 （CWE-79），可能会造成存储的 HTML 注入。拥有 Elasticsearch 索引写入访问权限的用户可保留特制的标记，而随后另一位用户通过受影响的 Kibana 视图呈现时，未得到充分清理。
    成功利用此漏洞可导致未经授权的 UI 操纵和从查看用户的浏览器会话发出出站网络请求。（CVE-2026-42401）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Kibana のバージョンは、8.19.16 または 9.3.5 より前です。したがって、 ESA-2026-30、 ESA-2026-33、 ESA-2026-34、 ESA-2026-36 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - パストラバーサルの脆弱性がKibanaのダッシュボード管理機能に見つかりました。限定的なアクセス許可を持つ認証されたユーザーが、特別に細工された識別子でダッシュボードを作成する可能性があります。
    その後、管理者がKibanaインターフェイスを使用してこのダッシュボードを削除しようとすると、削除リクエストは意図しない内部エンドポイントにリダイレクトされ、ユーザーアカウントやその他のリソースが権限なしで削除される可能性があります。悪用するには、管理者は、悪意を持って作成されたダッシュボードオブジェクトに対して削除アクションを実行する必要があります。(CVE-2026-33462)

  - Kibanaの有効期限または終了後のリソースに対する操作(CWE-672)は、不正な情報漏えいにつながる可能性があります。有効期限タイムスタンプの検証方法における論理エラーにより、時間制限アクセストークンが、意図された有効期間を超えて使用可能なままになり、トークンを所有している認証されていない攻撃者が有効期限後に関連コンテンツを取得する可能性があります。(CVE-2026-33463)

  - Kibanaの制御されていないリソース消費(CWE-400)は、過剰な割り当てを介してサービス拒否を引き起こす可能性があります(CAPEC-130)。認証された権限の低いユーザーが、深く連鎖した関数呼び出しを含む特別に細工されたTimelion視覚化式を送信することにより、Kibanaのメモリ消費量を急激に増加させる可能性があります。結果として生じるデータ構造は制限なく増加し、利用可能なメモリを使い果たし、Kibanaサービスがクラッシュしてすべてのユーザーが利用できなくなります。
    (CVE-2026-42399)

  - KibanaのWebページ生成中の入力の不適切な中和(CWE-79)が、保存型HTMLインジェクションにつながる可能性があります。Elasticsearchインデックスへの書き込みアクセス権を持つユーザーが細工されたマークアップを永続化する可能性がありますが、後に別のユーザーが影響を受けるKibanaビューを通してレンダリングするときには十分にサニタイズされません。
    悪用に成功すると、権限なしの UI 操作や、表示しているユーザーのブラウザセッションから発行されるアウトバウンドネットワークリクエストが発生する可能性があります。(CVE-2026-42401)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Kibana installed on the remote host is prior to 8.19.16 or 9.3.5. It is, therefore, affected by multiple vulnerabilities as referenced in the ESA-2026-30, ESA-2026-33, ESA-2026-34, and ESA-2026-36 advisories.

  - A path traversal vulnerability was identified in Kibana's dashboard management functionality. An     authenticated user with limited permissions could create a dashboard with a specially crafted identifier.
    When an administrator subsequently attempts to delete this dashboard through the Kibana interface, the     deletion request is redirected to an unintended internal endpoint, potentially resulting in the     unauthorized deletion of user accounts or other resources. Exploitation requires an administrator to     perform a delete action on the maliciously crafted dashboard object. (CVE-2026-33462)

  - Operation on a Resource after Expiration or Termination (CWE-672) in Kibana can lead to unauthorized     information disclosure. A logic error in how expiration timestamps were validated allowed a time-bounded     access token to remain usable beyond its intended validity window, enabling an unauthenticated actor in     possession of the token to retrieve the associated content after expiration. (CVE-2026-33463)

  - Uncontrolled Resource Consumption (CWE-400) in Kibana can lead to denial of service via Excessive     Allocation (CAPEC-130). An authenticated low-privileged user can cause Kibana to consume exponentially     increasing amounts of memory by submitting a specially crafted Timelion visualization expression     containing deeply chained function calls. The resulting data structure grows without bound, exhausting     available memory and causing the Kibana service to crash and become unavailable to all users.
    (CVE-2026-42399)

  - Improper Neutralization of Input During Web Page Generation (CWE-79) in Kibana can lead to stored HTML     injection. A user with write access to an Elasticsearch index could persist crafted markup which, when     subsequently rendered through an affected Kibana view by another user, was not sufficiently sanitized.
    Successful exploitation could result in unauthorized UI manipulation and outbound network requests issued     from the viewing user's browser session. (CVE-2026-42401)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
318721	Kibana 8.x < 8.19.16 / 9.0.x < 9.3.5 多個弱點（ESA-2026-30 / ESA-2026-33 / ESA-2026-34 / ） ESA-2026-36	Nessus	CGI abuses	2026/6/4	2026/6/8	high
318721	Kibana < / < 多个漏洞（ESA-2026-30 / ESA-2026-33 / ESA-2026-34 / ESA-2026-36） 9.3.59.0.x8.19.168.x	Nessus	CGI abuses	2026/6/4	2026/6/8	high
318721	Kibana 8.x < 8.19.16 / 9.0.x < 9.3.5 の複数の脆弱性(ESA-2026-30 / ESA-2026-33 / ESA-2026-34 / ESA-2026-36)	Nessus	CGI abuses	2026/6/4	2026/6/8	high
318721	Kibana 8.x < 8.19.16 / 9.0.x < 9.3.5 Multiple Vulnerabilities (ESA-2026-30 / ESA-2026-33 / ESA-2026-34 / ESA-2026-36)	Nessus	CGI abuses	2026/6/4	2026/6/8	high

检测

插件搜索

high

high

high

high