平台
nodejs
组件
kibana
修复版本
9.3.3
CVE-2026-33458 describes a Server-Side Request Forgery (SSRF) vulnerability discovered in Kibana One Workflow. This flaw allows an authenticated user with workflow creation and execution privileges to bypass host allowlist restrictions, potentially leading to the exposure of sensitive internal endpoints and data. The vulnerability impacts Kibana versions 9.3.0 through 9.3.2. A patch is available in version 9.3.3.
Kibana One Workflow 中的 CVE-2026-33458 存在服务器端请求伪造 (SSRF) 漏洞，可能导致信息泄露。具有工作流创建和执行权限的经过身份验证的用户可以绕过工作流执行引擎中的主机允许列表限制，从而可能暴露敏感的内部端点和数据。CVSS 严重性评级为 6.8，表明存在中等风险。解决此漏洞对于保护 Elasticsearch 和 Kibana 环境中数据的完整性和保密性至关重要。成功利用需要 Kibana 中的身份验证和特定权限，但潜在影响很大。
具有必要角色（工作流创建和执行）的经过身份验证的攻击者可以操纵工作流配置，以向通常不在 Kibana 范围内的内部主机发送请求。这通过利用工作流执行引擎中 URL 验证不足来实现。此漏洞集中在绕过主机允许列表的能力上，允许攻击者访问内部服务、读取文件或在易受攻击的系统上执行命令。利用成功取决于环境配置以及通过伪造请求访问的内部服务的存在。
漏洞利用状态
EPSS
0.05% (15% 百分位)
CISA SSVC
CVE-2026-33458 的主要缓解措施是将 Kibana 更新到 9.3.3 或更高版本。此更新包含解决了 SSRF 漏洞的修复程序。此外，建议审查和加强 Kibana 中的访问控制策略，以将用户权限限制在绝对必要的最低限度内。监控 Kibana 日志中与工作流执行相关的可疑活动可以帮助检测和响应潜在的利用尝试。实施纵深防御策略，包括防火墙和入侵检测系统，可以提供额外的保护层。
Actualice Kibana a la versión 9.3.3 o posterior para mitigar la vulnerabilidad de SSRF. Esta actualización corrige la forma en que Kibana maneja las solicitudes del lado del servidor, evitando la exposición de endpoints internos y datos sensibles. Consulte las notas de la versión de Elastic para obtener instrucciones detalladas de actualización.
漏洞分析和关键警报直接发送到您的邮箱。
SSRF（服务器端请求伪造）是一种漏洞，允许攻击者使服务器执行对攻击者控制的资源的请求。在这种情况下，Kibana 可能被欺骗以访问内部资源。
需要“工作流创建”和“工作流执行”角色才能利用此漏洞。
如果您无法立即升级，请考虑限制对内部端点的访问并监控 Kibana 日志中是否存在可疑活动。
如果您使用的是 9.3.3 之前的 Kibana 版本，并且启用了 One Workflow，则很可能受到影响。
请参阅 Elasticsearch 和 Kibana 的官方文档以获取有关此漏洞的更多详细信息和更新。
CVSS 向量