CVE-2026-0531

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-0531
Allocation of Resources Without Limits or Throttling (CWE-770) in Kibana Fleet can lead to Excessive Allocation (CAPEC-130) via a specially crafted bulk retrieval request. This requires an attacker to have low-level privileges equivalent to the viewer role, which grants read access to agent policies. The crafted request can cause the application to perform redundant database retrieval operations that immediately consume memory until the server crashes and becomes unavailable to all users.

6.5 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact NONE

Availability Impact HIGH

Scope UNCHANGED

References
Link Resource
https://discuss.elastic.co/t/kibana-8-19-10-9-1-10-9-2-4-security-update-esa-2026-04/384522 Vendor Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:*
cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:*
cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:*
cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:*
History

17 Jun 2026, 10:10

Type Values Removed Values Added
Summary
  • (es) Asignación de Recursos Sin Límites o Limitación (CWE-770) en Kibana Fleet puede conducir a una Asignación Excesiva (CAPEC-130) a través de una solicitud de recuperación masiva especialmente diseñada. Esto requiere que un atacante tenga privilegios de bajo nivel equivalentes al rol de visor, que otorga acceso de lectura a las políticas de agente. La solicitud diseñada puede hacer que la aplicación realice operaciones redundantes de recuperación de base de datos que consumen memoria inmediatamente hasta que el servidor se bloquea y deja de estar disponible para todos los usuarios.

22 Jan 2026, 19:59

Type Values Removed Values Added
CPE cpe:2.3:a:elastic:kibana:*:*:*:*:*:*:*:*
References () https://discuss.elastic.co/t/kibana-8-19-10-9-1-10-9-2-4-security-update-esa-2026-04/384522 - () https://discuss.elastic.co/t/kibana-8-19-10-9-1-10-9-2-4-security-update-esa-2026-04/384522 - Vendor Advisory
First Time Elastic
Elastic kibana

13 Jan 2026, 21:15

Type Values Removed Values Added
New CVE
Information

Published : 2026-01-13 21:15

Updated : 2026-06-17 10:10

NVD link : CVE-2026-0531

Mitre link : CVE-2026-0531

CVE.ORG link : CVE-2026-0531

JSON object : View

Products Affected

elastic

  • kibana
CWE
CWE-770

Allocation of Resources Without Limits or Throttling