CVE-2026-75897
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Nieprawidłowa walidacja danych wejściowych w handlerze trasy capabilities w OpenSearch Dashboards – rozmiar ładunku żądania nie jest ograniczony – może pozwolić zdalnym atakującym na spowodowanie odmowy usługi poprzez spreparowane żądanie HTTP.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując niedostępność usługi, co może zakłócić działanie systemów analitycznych.
Rekomendacja
Zaleca się aktualizację OpenSearch Dashboards do wersji, która ogranicza rozmiar żądań, oraz wdrożenie zabezpieczeń na poziomie proxy.
Inne podatności w OpenSearch Dashboards
Zobacz wszystkie- CVE-2026-84942Wysokie
Nieprawidłowa walidacja danych wejściowych w implementacji funkcji wyrażeń Vega w OpenSearch Dashboards pozwala zdalnemu, uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dashboardów na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki innych użytkowników poprzez zapisanie spreparowanej wizualizacji Vega. Procedura walidacji checkForFunctionProperty nie rekurencyjnie przeszukiwała tablic obiektów, co pozwalało na obejście walidacji dla właściwości funkcji zagnieżdżonej w tablicy.
- CVE-2026-77811Wysokie
Wtyczka dashboards-observability w OpenSearch Dashboards ma podatność polegającą na niewłaściwej walidacji danych wejściowych. Zdalny uwierzytelniony użytkownik z uprawnieniami do zapisu obiektów może wykonać dowolny JavaScript w kontekście sesji innych użytkowników poprzez przesłanie zasobu z dowolną treścią.
- CVE-2026-18420Wysokie
Wtyczka Time Series Visual Builder (TSVB) w OpenSearch Dashboards zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych, która pozwala uwierzytelnionemu zdalnemu użytkownikowi na wykonanie dowolnego kodu na serwerze przez spreparowany JSON do API wizualizacji metryk. Jest to forma zanieczyszczenia prototypu prowadząca do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Improper input validation in the capabilities route handler in OpenSearch Dashboards - the size of the request payload is not bounded - might allow remote attackers to cause a denial of service via a crafted HTTP request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS