CVE-2026-72647
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Nieograniczona rekurencja w Elasticsearch może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu pojedynczego indeksu może wysłać jedno specjalnie spreparowane żądanie wyszukiwania o głęboko zagnieżdżonej strukturze, które jest przetwarzane bez limitu głębokości, wyczerpując stos wątku i kończąc działanie dotkniętego węzła.
Ocena ryzyka
Atakujący z minimalnymi uprawnieniami (tylko odczyt jednego indeksu) może spowodować awarię węzła Elasticsearch, co może wpłynąć na dostępność całego klastra i usług zależnych.
Rekomendacja
Zainstaluj poprawki bezpieczeństwa od producenta i wdróż limity głębokości dla zapytań wyszukiwania. Ogranicz uprawnienia do wykonywania zapytań i monitoruj nietypowe żądania.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled Recursion (CWE-674) in Elasticsearch can lead to denial of service via Serialized Data with Nested Payloads (CAPEC-230). An authenticated user holding only read privileges on a single index can submit one specially crafted search request whose deeply nested structure is processed without a depth limit, exhausting the thread stack and terminating the affected node.