CVE-2026-72674
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Lista pól dokumentów dostarczana przez użytkownika w funkcji Playground dla RAG nie jest ograniczona pod względem długości ani nie jest deduplikowana przed użyciem do budowy odpowiedzi. Pojedynczy spreparowany request może spowodować, że Kibana zbuduje odpowiedź znacznie większą niż dane źródłowe, wyczerpując zasoby instancji.
Ocena ryzyka
Atak może doprowadzić do wyczerpania pamięci i niedostępności Kibany dla wszystkich użytkowników. Wystarczy jeden request, co ułatwia przeprowadzenie ataku.
Rekomendacja
Zainstaluj aktualizację Kibany zawierającą poprawkę. Ogranicz dostęp do funkcji Playground i monitoruj użycie pamięci.
Oryginalny opis (angielski, źródło NVD)
Allocation of Resources Without Limits or Throttling (CWE-770) in Kibana can lead to a denial of service via Excessive Allocation (CAPEC-130). A user-supplied list of document fields accepted by the Kibana Playground for RAG feature was neither bounded in length nor de-duplicated before it was used to assemble the response for each matching document. A single crafted request could therefore make Kibana build a response far larger than the data it was derived from, and the resulting processing and memory pressure exhausts the resources of the Kibana instance.