मुफ्त स्कैन करें
MEDIUMCVE-2026-33458CVSS 6.8

Kibana One Workflow में सर्वर-साइड रिक्वेस्ट फ़ॉर्जरी (SSRF) जिसके परिणामस्वरूप सूचना का प्रकटीकरण

प्लेटफ़ॉर्म

nodejs

घटक

kibana

में ठीक किया गया

9.3.3

AI Confidence: highNVDEPSS 0.1%समीक्षित: अप्रैल 2026
NVD पर देखें
सहेजें

CVE-2026-33458 Kibana One Workflow में एक SSRF (सर्वर-साइड रिक्वेस्ट फोर्जरी) भेद्यता है, जो CWE-918 के अंतर्गत आता है. एक प्रमाणित उपयोगकर्ता वर्कफ़्लो निर्माण और निष्पादन विशेषाधिकारों के साथ होस्ट अनुमति सूची प्रतिबंधों को दरकिनार कर सकता है, जिससे संवेदनशील आंतरिक एंडपॉइंट्स और डेटा उजागर हो सकते हैं. यह भेद्यता Kibana संस्करण 9.3.0 से 9.3.2 तक के संस्करणों को प्रभावित करती है. 9.3.3 संस्करण में इस समस्या का समाधान किया गया है.

प्रभाव और हमले की स्थितियाँ

Kibana One Workflow में CVE-2026-33458 एक सर्वर-साइड रिक्वेस्ट फोर्जरी (SSRF) भेद्यता के कारण सूचना प्रकटीकरण जोखिम पैदा करता है। वर्कफ़्लो निर्माण और निष्पादन विशेषाधिकार वाले प्रमाणित उपयोगकर्ता वर्कफ़्लो निष्पादन इंजन के भीतर होस्ट अनुमति सूची प्रतिबंधों को बायपास कर सकते हैं, जिससे संवेदनशील आंतरिक समापन बिंदुओं और डेटा का खुलासा हो सकता है। CVSS गंभीरता रेटिंग 6.8 है, जो मध्यम जोखिम का संकेत देती है। अपने Elasticsearch और Kibana वातावरण में डेटा की अखंडता और गोपनीयता की रक्षा करना इस भेद्यता को संबोधित करना महत्वपूर्ण है। सफल शोषण के लिए Kibana के भीतर प्रमाणीकरण और विशिष्ट विशेषाधिकारों की आवश्यकता होती है, लेकिन संभावित प्रभाव महत्वपूर्ण है।

शोषण संदर्भ

आवश्यक भूमिकाओं (वर्कफ़्लो निर्माण और निष्पादन) के साथ एक प्रमाणित हमलावर वर्कफ़्लो कॉन्फ़िगरेशन में हेरफेर कर सकता है ताकि सामान्य रूप से Kibana के दायरे से बाहर के आंतरिक होस्ट को अनुरोध भेजा जा सके। यह वर्कफ़्लो निष्पादन इंजन के भीतर URL सत्यापन की अपर्याप्तता का शोषण करके प्राप्त किया जाता है। भेद्यता होस्ट अनुमति सूची को बायपास करने की क्षमता पर केंद्रित है, जिससे हमलावर आंतरिक सेवाओं तक पहुंच सकता है, फ़ाइलें पढ़ सकता है या कमजोर सिस्टम पर कमांड निष्पादित कर सकता है। शोषण की सफलता पर्यावरण कॉन्फ़िगरेशन और नकली अनुरोधों के माध्यम से एक्सेस किए जा सकने वाले आंतरिक सेवाओं की उपस्थिति पर निर्भर करती है।

खतरा खुफिया

एक्सप्लॉइट स्थिति

प्रूफ ऑफ कॉन्सेप्टअज्ञात
CISA KEVNO
इंटरनेट एक्सपोज़रउच्च
रिपोर्ट1 खतरा रिपोर्ट

EPSS

0.05% (15% शतमक)

CISA SSVC

शोषणnone
स्वचालनीयno
तकनीकी प्रभावpartial

CVSS वेक्टर

खतरा इंटेलिजेंस· CVSS 3.1CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N6.8MEDIUMAttack VectorNetworkहमलावर लक्ष्य तक कैसे पहुंचता हैAttack ComplexityHighशोषण के लिए आवश्यक शर्तेंPrivileges RequiredLowहमले के लिए प्रमाणीकरण स्तरUser InteractionNoneक्या पीड़ित को कार्रवाई करनी होगीScopeChangedघटक से परे प्रभावConfidentialityHighसंवेदनशील डेटा उजागर होने का जोखिमIntegrityNoneअनधिकृत डेटा संशोधन का जोखिमAvailabilityNoneसेवा बाधा का जोखिमnextguardhq.com · CVSS v3.1 आधार स्कोर
इन मेट्रिक्स का क्या मतलब है?
Attack Vector
नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
Attack Complexity
उच्च — रेस कंडीशन, गैर-डिफ़ॉल्ट कॉन्फ़िगरेशन या विशिष्ट परिस्थितियों की आवश्यकता।
Privileges Required
निम्न — कोई भी वैध उपयोगकर्ता खाता पर्याप्त है।
User Interaction
कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
Scope
बदला हुआ — हमला कमज़ोर घटक से परे अन्य प्रणालियों तक फैल सकता है।
Confidentiality
उच्च — पूर्ण गोपनीयता हानि। हमलावर सभी डेटा पढ़ सकता है।
Integrity
कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
Availability
कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।

प्रभावित सॉफ्टवेयर

घटकkibana
विक्रेताElastic
प्रभावित श्रेणीमें ठीक किया गया
9.3.0 – 9.3.29.3.3

कमजोरी वर्गीकरण (CWE)

CWE-918

समयरेखा

  1. आरक्षित
  2. प्रकाशित
  3. EPSS अद्यतन

शमन और वर्कअराउंड

CVE-2026-33458 के लिए प्राथमिक शमन Kibana को संस्करण 9.3.3 या बाद के संस्करण में अपडेट करना है। इस अपडेट में SSRF भेद्यता को संबोधित करने वाला फिक्स शामिल है। इसके अतिरिक्त, Kibana के भीतर एक्सेस नियंत्रण नीतियों की समीक्षा और मजबूत करना, उपयोगकर्ता विशेषाधिकारों को न्यूनतम आवश्यक तक सीमित करना उचित है। वर्कफ़्लो निष्पादन से संबंधित Kibana लॉग में संदिग्ध गतिविधि की निगरानी संभावित शोषण प्रयासों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है। फ़ायरवॉल और घुसपैठ का पता लगाने वाले सिस्टम सहित गहराई से रक्षा रणनीति को लागू करने से अतिरिक्त सुरक्षा परतें प्रदान की जा सकती हैं।

कैसे ठीक करेंअनुवाद हो रहा है…

Actualice Kibana a la versión 9.3.3 o posterior para mitigar la vulnerabilidad de SSRF. Esta actualización corrige la forma en que Kibana maneja las solicitudes del lado del servidor, evitando la exposición de endpoints internos y datos sensibles. Consulte las notas de la versión de Elastic para obtener instrucciones detalladas de actualización.

CVE सुरक्षा न्यूज़लेटर

भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।

अक्सर पूछे जाने वाले सवाल

CVE-2026-33458 क्या है — Kibana में SSRF?

SSRF (सर्वर-साइड रिक्वेस्ट फोर्जरी) एक भेद्यता है जो एक हमलावर को सर्वर को हमलावर द्वारा नियंत्रित संसाधनों के लिए अनुरोध करने की अनुमति देती है। इस मामले में, Kibana को आंतरिक संसाधनों तक पहुंचने के लिए धोखा दिया जा सकता है।

क्या मैं Kibana में CVE-2026-33458 से प्रभावित हूं?

इस भेद्यता का फायदा उठाने के लिए 'वर्कफ़्लो निर्माण' और 'वर्कफ़्लो निष्पादन' भूमिकाओं की आवश्यकता है।

Kibana में CVE-2026-33458 को कैसे ठीक करें?

यदि आप तुरंत अपग्रेड नहीं कर सकते हैं, तो आंतरिक समापन बिंदुओं तक पहुंच को प्रतिबंधित करने और Kibana लॉग में संदिग्ध गतिविधि की निगरानी करने पर विचार करें।

क्या CVE-2026-33458 का सक्रिय रूप से शोषण किया जा रहा है?

यदि आप 9.3.3 से पहले के Kibana संस्करण का उपयोग कर रहे हैं और One Workflow सक्षम है, तो आप संभवतः प्रभावित हैं।

CVE-2026-33458 के लिए Kibana का आधिकारिक सुरक्षा सलाह कहां मिलेगी?

इस भेद्यता के बारे में अधिक विवरण और अपडेट के लिए Elasticsearch और Kibana के आधिकारिक दस्तावेज़ देखें।

क्या आपका प्रोजेक्ट प्रभावित है?

अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।

मुफ्त स्कैन करेंCVE खोजें