Skip to content
OpenAdvisories
High NCSC-2026-0078 5 CVEs

Kwetsbaarheden verholpen in Kibana

Published Mar 5, 2026 · Updated Mar 5, 2026 · nl

Vendor: Elastic Product: Kibana

Summary

Elastic heeft kwetsbaarheden verholpen in Kibana.

Details

Interpretaties
De kwetsbaarheden bevinden zich in verschillende componenten van Kibana. Een geauthenticeerde gebruiker met alleen weergaveprivileges kan een fout in de invoervalidatie misbruiken om een Denial of Service-voorwaarde te veroorzaken door speciaal vervaardigde, verkeerd gevormde payloads te verzenden. Dit leidt tot overmatig gebruik van resources en kan resulteren in crashes. Daarnaast bevat de zoekendpoint van Kibana's interne Content Connectors een kwetsbaarheid die het mogelijk maakt voor aanvallers om gemanipuleerde invoergegevens te leveren, wat ook kan leiden tot een Denial of Service. De AI Inference Anonymization Engine maakt gebruik van een inefficiënt geconstrueerde reguliere expressie, wat kan worden misbruikt om een Denial of Service te veroorzaken door de regex-processor te overweldigen. De Timelion-component kan ook worden misbruikt om ongecontroleerd middelenverbruik te veroorzaken, wat de beschikbaarheid van de Kibana-service beïnvloedt. Ten slotte staat de kwetsbaarheid in de workflow template engine geauthenticeerde gebruikers met executeWorkflow-rechten toe om code in te voegen die willekeurige bestanden van het serversysteem kan lezen en server-side request forgery (SSRF) aanvallen mogelijk maakt.

Oplossingen
Elastic heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.

Vulnerabilities 5

  • High 8.6
    CVE-2026-26938

    Improper Neutralization of Special Elements Used in a Template Engine in Kibana Workflows Leading to Server-Side Request Forgery (SSRF)

    Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336) exists in Workflows in Kibana which could allow an attacker to read arbitrary files from the Kibana server filesystem, and perform Server-Side Request Forgery (SSRF) via Code Inj…

    Elastic Kibana
  • Medium 6.5
    CVE-2026-26934

    Improper Validation of Specified Quantity in Input in Kibana Leading to Denial of Service

    Improper Validation of Specified Quantity in Input (CWE-1284) in Kibana can allow an authenticated attacker with view-only privileges to cause a Denial of Service via Input Data Manipulation (CAPEC-153). An attacker can send a specially crafted, malformed pay…

    Elastic Kibana
  • Medium 6.5
    CVE-2026-26935

    Improper Input Validation in Kibana Leading to Denial of Service

    Improper Input Validation (CWE-20) in the internal Content Connectors search endpoint in Kibana can lead Denial of Service via Input Data Manipulation (CAPEC-153)

    Elastic Kibana
  • Medium 6.5
    CVE-2026-26937

    Uncontrolled Resource Consumption in Kibana Leading to Denial of Service

    Uncontrolled Resource Consumption (CWE-400) in the Timelion component in Kibana can lead Denial of Service via Input Data Manipulation (CAPEC-153)

    Elastic Kibana
  • Medium 4.9
    CVE-2026-26936

    Inefficient Regular Expression Complexity in Kibana Leading to Denial of Service

    Inefficient Regular Expression Complexity (CWE-1333) in the AI Inference Anonymization Engine in Kibana can lead Denial of Service via Regular Expression Exponential Blowup (CAPEC-492).

    Elastic Kibana

Revision history

  1. #1.0.0

    Initiele versie

References

  • Reference
    https://discuss.elastic.co/t/kibana-8-19-11-9-2-5-security-update-esa-2026-14/385250
  • Reference
    https://discuss.elastic.co/t/kibana-8-19-11-9-2-5-security-update-esa-2026-15/385251
  • Reference
    https://discuss.elastic.co/t/kibana-8-19-12-9-2-6-9-3-1-security-update-esa-2026-12/385248
  • Reference
    https://discuss.elastic.co/t/kibana-8-19-12-9-2-6-9-3-1-security-update-esa-2026-13/385249
  • Reference
    https://discuss.elastic.co/t/kibana-9-3-1-security-update-esa-2026-17/385253