JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031968 Kibana Agent Builder A2A JSON-RPC APIのエンドポイントは、ユーザーから提供された入力に基づいて保存された会話の識別子を取得しますが、その識別子に対する所有権チェックは、存在しない会話と存在するものの別のユーザーに属する会話を区別しません。その結果、Agent Builderの読み取り権限のみを持つ認証済みユーザーが、同じスペース内の別のユーザーが既に使用している識別子を指定すると、そのユーザーの会話が置き換えられ、要求したアカウントに再割り当てされます。元の所有者は会話およびその履歴へのアクセス権を永久に失います。影響は対象となった会話の整合性および可用性の喪失に限定されており、攻撃者が上書きされた内容を読み取ることはできません。 cpe:/a:elastic:kibana https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031968.html Common Vulnerabilities and Exposures (CVE) CVE-2026-72680 https://www.cve.org/CVERecord?id=CVE-2026-72680 National Vulnerability Database (NVD) CVE-2026-72680 https://nvd.nist.gov/vuln/detail/CVE-2026-72680 JVNDB CWE-639 https://cwe.mitre.org/data/definitions/639.html Topics Kibana 9.4.5 Security Update (ESA-2026-82) - Announcements / Security Announcements - Discuss the Elastic Stack https://discuss.elastic.co/t/kibana-9-4-5-security-update-esa-2026-82/389535 2026-09-04T17:45:48+09:00 2026-09-04T17:45:48+09:00