CVE-2026-72680

Nome do Software Vulnerável e Versões Afetadas Kibana (versões afetadas não especificadas)

Descrição O endpoint da API JSON-RPC A2A do Agent Builder do Kibana deriva o identificador de uma conversa armazenada a partir de uma entrada fornecida pelo usuário. A verificação de propriedade desse identificador não distingue entre uma conversa que não existe e uma que existe, mas pertence a outro usuário. Consequentemente, um usuário autenticado com privilégios de leitura do Agent Builder pode fornecer um identificador já utilizado por outro usuário no mesmo espaço, fazendo com que a conversa desse usuário seja substituída e reatribuída à conta do solicitante. Isso resulta na perda permanente do acesso do proprietário original à conversa e ao seu histórico, impactando a integridade e a disponibilidade dos dados, embora o invasor não consiga ler o conteúdo sobrescrito.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.