CVE-2026-72638
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Nie kontrolowana rekurencja (CWE-674) w Elasticsearch może prowadzić do odmowy usługi poprzez manipulację danymi wejściowymi (CAPEC-153). Uwierzytelniony użytkownik z uprawnieniami do tworzenia indeksów o niskich uprawnieniach może wysłać pojedyncze żądanie zawierające specjalnie spreparowaną, nieprawidłową definicję analizy niestandardowej, która jest rozwiązywana rekurencyjnie bez sprawdzania cykli lub głębokości, wyczerpując stos wątku i kończąc działanie dotkniętego węzła.
Ocena ryzyka
Atak może spowodować awarię węzła Elasticsearch, prowadząc do niedostępności usług i potencjalnego zakłócenia działania klastra.
Rekomendacja
Zaktualizuj Elasticsearch do wersji z poprawką oraz ogranicz uprawnienia do tworzenia indeksów tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled Recursion (CWE-674) in Elasticsearch can lead to denial of service via Input Data Manipulation (CAPEC-153). An authenticated user holding only low-privileged index creation permissions can submit a single request containing a specially crafted, malformed custom analysis definition that is resolved recursively without a cycle or depth check, exhausting the thread stack and terminating the affected node.