PT-2026-44537 · Elastic · Elasticsearch+1

Ismisepaul + 1 · Publicado 2026-05-28 · Atualizado 2026-06-01 · CVE-2026-49095

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Kibana (versões afetadas não especificadas)

Description A validação inadequada de entrada no recurso de gerenciamento de políticas de agentes do Kibana Fleet permite que um usuário autenticado com privilégios de gerenciamento do Fleet escale privilégios. Ao injetar valores em um mecanismo de substituição de configuração que não é validado adequadamente, um invasor pode fazer com que os Agentes Elastic recebam chaves de API com privilégios elevados do Elasticsearch. Isso pode conceder acesso não autorizado de leitura e gravação a índices de segurança sensíveis do Elasticsearch, excedendo as permissões pretendidas para a função de gerenciamento do Fleet.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

BIT-ELK-2026-49095

BIT-KIBANA-2026-49095

CVE-2026-49095

Produtos afetados

Elasticsearch

Kibana

Referências · 4

• https://discuss.elastic.co/t/kibana-fleet-8-19-16-9-3-5-and-9-4-2-security-update-esa-2026-38/386559 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-49095 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-elk-2026-49095 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-kibana-2026-49095 · Aviso do Fabricante