CVE-2026-72680

Kibana Agent Builder A2A JSON-RPC API uç noktası, saklanan bir konuşmanın tanımlayıcısını kullanıcı tarafından sağlanan bir girdiden türetmektedir ve bu tanımlayıcı üzerindeki sahiplik kontrolü, mevcut olmayan bir konuşma ile mevcut olan ancak başka bir kullanıcıya ait olan bir konuşma arasında ayrım yapmamaktadır. Sonuç olarak, yalnızca Agent Builder okuma yetkisine sahip kimliği doğrulanmış bir kullanıcı, aynı alanda başka bir kullanıcı tarafından halihazırda kullanılan bir tanımlayıcı sağlayarak söz konusu kullanıcının konuşmasının değiştirilmesine ve talepte bulunan hesaba yeniden atanmasına neden olabilir. Orijinal sahibi, konuşmaya ve geçmişine erişimini kalıcı olarak kaybeder. Etki, etkilenen konuşmanın bütünlük ve kullanılabilirlik kaybı ile sınırlıdır; saldırgan üzerine yazılan içeriği okuyamaz.