Title: Kibana de Elastic, Description: Autorización incorrecta (CWE-863) en Kibana puede conducir a la revelación de información entre espacios a través de Abuso de Privilegios (CAPEC-122). Un usuario con privilegios de gestión de agentes de Fleet en un espacio de Kibana puede recuperar detalles de la política del servidor de Fleet de otros espacios a través de un endpoint de inscripción interno. El endpoint omite los controles de acceso con ámbito de espacio al usar un cliente interno sin ámbito, devolviendo identificadores operativos, nombres de políticas, estado de gestión y detalles de vinculación de infraestructura de espacios a los que el usuario no está autorizado a acceder.

Title: Kibana de Elastic, Description: Autorización incorrecta (CWE-863) en Kibana puede conducir a la revelación de información entre espacios a través de Abuso de Privilegios (CAPEC-122). Un usuario con privilegios de gestión de agentes de Fleet en un espacio de Kibana puede recuperar detalles de la política del servidor de Fleet de otros espacios a través de un endpoint de inscripción interno. El endpoint omite los controles de acceso con ámbito de espacio al usar un cliente interno sin ámbito, devolviendo identificadores operativos, nombres de políticas, estado de gestión y detalles de vinculación de infraestructura de espacios a los que el usuario no está autorizado a acceder.

Title: Kibana de Elastic, Description: Autorización incorrecta (CWE-863) en Kibana puede conducir a la revelación de información entre espacios a través de Abuso de Privilegios (CAPEC-122). Un usuario con privilegios de gestión de agentes de Fleet en un espacio de Kibana puede recuperar detalles de la política del servidor de Fleet de otros espacios a través de un endpoint de inscripción interno. El endpoint omite los controles de acceso con ámbito de espacio al usar un cliente interno sin ámbito, devolviendo identificadores operativos, nombres de políticas, estado de gestión y detalles de vinculación de infraestructura de espacios a los que el usuario no está autorizado a acceder.

{"timestamp":"2026-04-09T14:26:12.477761Z","id":"CVE-2026-33460","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Elastic","product":"Kibana","defaultStatus":"unaffected","versions":[{"version":"9.3.0","lessThanOrEqual":"9.3.2","versionType":"semver","status":"affected"},{"version":"9.0.0","lessThanOrEqual":"9.2.7","versionType":"semver","status":"affected"},{"version":"8.0.0","lessThanOrEqual":"8.19.13","versionType":"semver","status":"affected"}]}]

OR
          *cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:* versions from (including) 8.0.0 up to (excluding) 8.19.14
          *cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:* versions from (including) 9.0.0 up to (excluding) 9.2.8
          *cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:* versions from (including) 9.3.0 up to (excluding) 9.3.3

Elastic: https://discuss.elastic.co/t/kibana-8-19-14-9-2-8-9-3-3-security-update-esa-2026-25/385813 Types: Vendor Advisory

Incorrect Authorization (CWE-863) in Kibana can lead to cross-space information disclosure via Privilege Abuse (CAPEC-122). A user with Fleet agent management privileges in one Kibana space can retrieve Fleet Server policy details from other spaces through an internal enrollment endpoint. The endpoint bypasses space-scoped access controls by using an unscoped internal client, returning operational identifiers, policy names, management state, and infrastructure linkage details from spaces the user is not authorized to access.

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

CWE-863

https://discuss.elastic.co/t/kibana-8-19-14-9-2-8-9-3-3-security-update-esa-2026-25/385813