漏洞信息
# N/A
## 概述
Kibana中的Upgrade Assistant存在原型污染漏洞，这使得有权限写入Kibana索引的经过身份验证的攻击者可以插入数据，导致Kibana执行任意代码。这可能导致攻击者在宿主机系统上以Kibana进程的权限执行代码。
## 影响版本
- 6.7.0 到 6.8.8
- 7.0.0 到 7.6.2
## 细节
Upgrade Assistant中的原型污染漏洞允许攻击者插入特定数据，这些数据会导致Kibana执行任意代码。这一操作前提是攻击者必须具备写入Kibana索引的权限。
## 影响
攻击者可以执行代码，拥有宿主机系统上Kibana进程的权限，可能造成严重的安全威胁。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
漏洞描述信息
Kibana versions 6.7.0 to 6.8.8 and 7.0.0 to 7.6.2 contain a prototype pollution flaw in the Upgrade Assistant. An authenticated attacker with privileges to write to the Kibana index could insert data that would cause Kibana to execute arbitrary code. This could possibly lead to an attacker executing code with the permissions of the Kibana process on the host system.
CVSS信息
N/A
漏洞类别
对生成代码的控制不恰当(代码注入)
漏洞标题
Elasticsearch Kibana 代码注入漏洞
漏洞描述信息
Elasticsearch Kibana是荷兰Elasticsearch公司的一套开源的、基于浏览器的分析和搜索Elasticsearch仪表板工具。 Elasticsearch Kibana 6.7.0版本至6.8.8版本和7.0.0版本至7.6.2版本中的Upgrade Assistant存在代码注入漏洞。攻击者可利用该漏洞在Kibana进程的上下文中执行代码。
CVSS信息
N/A
漏洞类别
代码注入