【漏洞通告】Kibana存在目录遍历漏洞(CVE-2026-115294)

安迈信科应急响应中心

2026年11月10日 09:32
陕西

去阅读

01 漏洞概况 Kibana Fleet 功能中存在对受限目录的路径名限制不当（CWE-22）问题，可通过路径遍历（CAPEC-126）导致未经授权的资源删除。具有 Fleet 代理策略写入权限的低权限用户可能促使后续的管理操作作用于非预期的资源。这可能导致删除低权限用户无法直接删除的资源，例如 Kibana 空间及其他组织资产。利用该漏洞需要管理员与受影响的 Fleet 界面进行交互。 02 漏洞处置 综合处置优先级：高 | | | | | --- | --- | --- | | 漏洞信息 | 漏洞名称 | Kibana存在目录遍历漏洞 | | 漏洞编号 | CVE编号 | CVE-2026-115294 ‍CVE-2026-115294 | | 漏洞评估 | 披露时间 | 2026-11-03 | | 漏洞类型 | 目录遍历 | | 危害评级 | 高危 | | 公开程度 | PoC已公开 | | 威胁类型 | 远程 | | 利用情报 | 在野利用 | 是 | | 影响产品 | 产品名称 | Kibana | | 受影响版本 | kibana <9.4.9 | | 影响范围 | 广 | | 有无修复补丁 | 有 |

03 漏洞排查 用户尽快排查组件kibana应用版本是否在 9.4.9及以。若存在，极大可能会受到目录遍历漏洞。 04 修复方案 将组件 kibana 升级至 9.4.9 及以上版本将组件 kibana 升级至 9.5.6 及以上版本 05 时间线 2026.10.21 Node.js 官方发布安全补丁 2026.10.22 安迈信科安全运营团队发布通告 关于安迈信科 西安安迈信科科技有限公司以“数字化可管理”为核心理念，坚持DevOps自主研发，创新打造“能力聚合、流程闭环、持续赋能”的综合性网络数据安全平台与运营服务。公司从古城西安出发，已在全国范围内为政府、运营商、电力、能源等行业客户提供了高质量的安全保障，并将继续为我国数字化转型和发展贡献力量。 智 慧 . 至 简 . 致 诚