CVE-2025-25014: fallo crítico en Elastic Kibana
Kibana arbitrary code execution via prototype pollution
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ella tiene prueba de concepto pública.
Una falla en Kibana permite que atacantes manipulen cómo la aplicación crea objetos, provocando ejecución de código arbitrario. Esto ocurre a través de solicitudes especialmente construidas hacia funcionalidades de aprendizaje automático e informes, permitiendo que los invasores ejecuten cualquier código en el servidor.
La vulnerabilidad de contaminación de prototipos en Kibana permite que atacantes inyecten propiedades maliciosas en cadenas de prototipos mediante solicitudes HTTP manipuladas a endpoints de aprendizaje automático e informes, resultando en ejecución de código arbitrario con privilegios del servidor. El ataque requiere acceso a la red hacia los endpoints afectados; no se requiere autenticación si los endpoints están expuestos.
En el mismo producto, de las más peligrosas a las menos.