CVE-2026-42401
MediumSummary
W Kibana występuje niewłaściwa neutralizacja danych wejściowych podczas generowania stron internetowych, co może prowadzić do wstrzykiwania HTML. Użytkownik z dostępem do zapisu w indeksie Elasticsearch może wprowadzić złośliwy kod, który nie jest odpowiednio oczyszczany, co skutkuje manipulacją interfejsem użytkownika oraz nieautoryzowanymi żądaniami sieciowymi z sesji przeglądarki innego użytkownika.
Risk Assessment
Eksploatacja tej podatności może prowadzić do poważnych zagrożeń dla bezpieczeństwa, w tym do nieautoryzowanego dostępu do danych oraz manipulacji interfejsem użytkownika. Może to również umożliwić atakującym przeprowadzanie działań w imieniu ofiary.
Recommendation
Zaleca się aktualizację Kibana do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do indeksów Elasticsearch tylko do zaufanych użytkowników oraz wdrożyć odpowiednie mechanizmy sanitizacji danych wejściowych.
Original NVD description (English source)
Improper Neutralization of Input During Web Page Generation (CWE-79) in Kibana can lead to stored HTML injection. A user with write access to an Elasticsearch index could persist crafted markup which, when subsequently rendered through an affected Kibana view by another user, was not sufficiently sanitized. Successful exploitation could result in unauthorized UI manipulation and outbound network requests issued from the viewing user's browser session.