Se ha descubierto una vulnerabilidad de severidad alta en el conector Google Gemini para Elastic Kibana. Un actor malicioso autenticado podría acceder a archivos sensibles del sistema o realizar peticiones de red no autorizadas.
Productos afectados
- Kibana Google Gemini Connector 8.x: versiones de 8.15.0 a 8.19.9
- Kibana Google Gemini Connector 9.x: versiones anteriores a 9.1.10
- Kibana Google Gemini Connector 9.x: versiones de 9.2.0 a 9.2.3
Impacto
La vulnerabilidad se ha identificado como:
CVE-2026–0532: con una puntuación de 8.6 en CVSS v3.1. Existe una vulnerabilidad que combina el control externo de rutas de archivos y la falsificación de solicitudes del lado del servidor (SSRF) en el conector Google Gemini de Kibana. Un actor malicioso con privilegios para crear o modificar conectores podría inyectar una configuración JSON maliciosa para leer archivos arbitrarios del sistema afectado o realizar solicitudes de red internas no autorizadas.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias
- https://www.cve.org/CVERecord?id=CVE-2026-0532
- https://discuss.elastic.co/t/kibana-8-19-10-9-1-10-9-2-4-security-update-esa-2026-05/384524