Multiples vulnérabilités affectant Elastic Kibana

Kibana est un outil open source de visualisation de données conçu pour Elasticsearch, qui permet de créer des tableaux de bord, des graphiques et des cartes interactifs pour explorer, analyser et présenter les données. Ce produit est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-63137 : vulnérabilité résultant d'une autorisation incorrecte (CWE-863). Son exploitation permettrait à un attaquant authentifié disposant de droits de modification des workflows d'exécuter des workflows planifiés avec les privilèges d'un autre utilisateur plus privilégié, et ainsi d'accéder à des données et de les modifier au-delà de son propre périmètre de permissions. Elle est classée haute avec un score de sévérité de 8.3 selon le CVSS v3.1. CVE-2026-78592 : vulnérabilité due à une limitation incorrecte d'un chemin vers un répertoire restreint (traversée de répertoires, CWE-22). Son exploitation permettrait à un attaquant authentifié disposant de privilèges de création d'étiquettes d'amener une action d'administration ultérieure, dans l'interface de gestion des étiquettes, à agir sur une cible non prévue, entraînant la suppression de ressources privilégiées, notamment des comptes administrateurs et d'autres actifs de l'organisation. L'exploitation nécessiterait une interaction d'un administrateur avec l'interface concernée. Elle est classée haute avec un score de sévérité de 7.3 selon le CVSS v3.1. CVE-2026-78590 : vulnérabilité causée par une restriction incorrecte d'un chemin vers un répertoire restreint (traversée de répertoires, CWE-22) dans la fonctionnalité Fleet de Kibana. Son exploitation permettrait à un attaquant authentifié disposant d'un accès en écriture aux paramètres Fleet d'amener une action d'administration ultérieure à agir sur des ressources internes non prévues, entraînant la suppression de ressources privilégiées comme des comptes utilisateurs et d'autres actifs de l'organisation. L'exploitation nécessiterait une interaction d'un administrateur avec l'interface Fleet concernée. Elle est classée haute avec un score de sévérité de 7.3 selon le CVSS v3.1. CVE-2026-82302 : vulnérabilité résultant d'une autorisation incorrecte (CWE-863). Son exploitation permettrait à un attaquant authentifié de modifier des configurations sans autorisation. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1. CVE-2026-78583 : vulnérabilité résultant d'une autorisation incorrecte (CWE-863). Son exploitation permettrait à un attaquant authentifié disposant de privilèges de gestion Fleet de manipuler les déclarations de privilèges de cluster Elasticsearch issues des paquets d'intégration. Chaque Elastic Agent d'une politique ciblée pourrait ainsi recevoir des accréditations dotées de privilèges de cluster Elasticsearch arbitrairement élevés, jusqu'à l'administration complète du cluster. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS V3.1.

• CVE-2026-63137 : Kibana versions antérieures à 9.4.3 ;
• CVE-2026-78592 : Kibana versions antérieures à 8.19.16, 9.3.5 et 9.4.2 ;
• CVE-2026-78590 : Kibana versions antérieures à 8.19.18, 9.3.6 et 9.4.3 ;
• CVE-2026-82302 : Kibana versions antérieures à 8.19.22, 9.4.7 et 9.5.3 ;
• CVE-2026-78583 : Kibana versions antérieures à 8.19.21, 9.4.6 et 9.5.3.