Elasticsearch B.V.のKibanaにおけるクロスサイトスクリプティングの脆弱性
| Title |
Elasticsearch B.V.のKibanaにおけるクロスサイトスクリプティングの脆弱性
|
| Summary |
KibanaにおけるWebページ生成時の入力の不適切な無害化（CWE-79）が、格納型HTMLインジェクションを引き起こす可能性があります。Elasticsearchインデックスへの書き込み権限を持つユーザーが巧妙に作成したマークアップを永続化でき、それが影響を受けるKibanaビューによって別のユーザーによりレンダリングされる際に、十分にサニタイズされませんでした。これが悪用されると、不正なUI操作が行われたり、閲覧ユーザーのブラウザーセッションから外向きネットワークリクエストが送信されたりする可能性があります。
|
| Possible impacts |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 28, 2026, midnight |
| Registration Date |
June 3, 2026, 5:01 p.m. |
| Last Update |
June 3, 2026, 5:01 p.m. |
|
CVSS3.0 : 警告
|
| Score |
5.4
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
Affected System
| Elasticsearch B.V. |
|
Kibana 8.0.0 以上 8.19.16 未満
|
|
Kibana 9.0.0 以上 9.3.5 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月03日]
掲載 |
June 3, 2026, 5:01 p.m. |
NVD Vulnerability Information
CVE-2026-42401
| Summary |
Improper Neutralization of Input During Web Page Generation (CWE-79) in Kibana can lead to stored HTML injection. A user with write access to an Elasticsearch index could persist crafted markup which, when subsequently rendered through an affected Kibana view by another user, was not sufficiently sanitized. Successful exploitation could result in unauthorized UI manipulation and outbound network requests issued from the viewing user's browser session.
|
| Publication Date |
May 29, 2026, 5:16 a.m. |
| Registration Date |
May 30, 2026, 4:11 a.m. |
| Last Update |
May 29, 2026, 11:46 p.m. |
Related information, measures and tools
Common Vulnerabilities List