CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-8443
https://notcve.org/view.php?id=CVE-2017-8443
In Kibana X-Pack security versions prior to 5.4.3 if a Kibana user opens a crafted Kibana URL the result could be a redirect to an improperly initialized Kibana login screen. If the user enters credentials on this screen, the credentials will appear in the URL bar. The credentials could then be viewed by untrusted parties or logged into the Kibana access logs. En Kibana X-Pack, en versiones de seguridad anteriores a la 5.4.3, si un usuario Kibana abre una URL Kibana manipulada, el resultado podría ser una redirección a una pantalla de inicio de sesión de Kibana inicializada de forma incorrecta. Si el usuario introduce credenciales en esta pantalla, las credenciales aparecerán en la barra de URL. • https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-598: Use of GET Request Method With Sensitive Query Strings •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2016-1000219 – kibana: Session hijack via stealing cookies and auth headers from log ESA-2016-04
https://notcve.org/view.php?id=CVE-2016-1000219
Kibana before 4.5.4 and 4.1.11 when a custom output is configured for logging in, cookies and authorization headers could be written to the log files. This information could be used to hijack sessions of other users when using Kibana behind some form of authentication such as Shield. Kibana en versiones anteriores a 4.5.4 y 4.1.11 cuando se configura una salida personalizada para iniciar sesión, las cookies y los encabezados de autorización podrían escribirse en los archivos de registro. Esta información podría ser utilizada para secuestrar sesiones de otros usuarios cuando se utiliza Kibana bajo alguna forma de autenticación como Shield. A flaw was found in Kibana's logging functionality. • http://www.securityfocus.com/bid/99178 https://www.elastic.co/community/security https://access.redhat.com/security/cve/CVE-2016-1000219 https://bugzilla.redhat.com/show_bug.cgi?id=1364394 • CWE-285: Improper Authorization CWE-532: Insertion of Sensitive Information into Log File •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2016-10364
https://notcve.org/view.php?id=CVE-2016-10364
With X-Pack installed, Kibana versions 5.0.0 and 5.0.1 were not properly authenticating requests to advanced settings and the short URL service, any authenticated user could make requests to those services regardless of their own permissions. Con X-Pack instalado, Kibana en sus versiones 5.0.0 y 5.0.1 no autentifica debidamente las solicitudes a las configuraciones avanzadas y el servicio de URLs cortas, cualquier usuario autentificado podría realizar una solicitud a estos servicios sin considerar sus propios permisos. • https://www.elastic.co/community/security • CWE-264: Permissions, Privileges, and Access Controls CWE-306: Missing Authentication for Critical Function •
CVSS: 6.1EPSS: 0%CPEs: 14EXPL: 0CVE-2016-10366
https://notcve.org/view.php?id=CVE-2016-10366
Kibana versions after and including 4.3 and before 4.6.2 are vulnerable to a cross-site scripting (XSS) attack. Las versiones de Kibana anteriores a la 4.3, esta inclusive, y anteriores a la 4.6.2 son vulnerables a un ataque XSS (cross-site scripting). • https://www.elastic.co/community/security • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2016-10365
https://notcve.org/view.php?id=CVE-2016-10365
Kibana versions before 4.6.3 and 5.0.1 have an open redirect vulnerability that would enable an attacker to craft a link in the Kibana domain that redirects to an arbitrary website. Las versiones de Kibana anteriores a 4.6.3 y 5.0.1 tienen una vulnerabilidad de redirección abierta que permitiría a un atacante crear un enlace en el dominio de Kibana que redirija a un sitio web arbitrario. • https://www.elastic.co/community/security • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •