CVE-2026-84942
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Nieprawidłowa walidacja danych wejściowych w implementacji funkcji wyrażeń Vega w OpenSearch Dashboards pozwala zdalnemu, uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu dashboardów na wykonanie dowolnego kodu JavaScript w kontekście sesji przeglądarki innych użytkowników poprzez zapisanie spreparowanej wizualizacji Vega. Procedura walidacji checkForFunctionProperty nie rekurencyjnie przeszukiwała tablic obiektów, co pozwalało na obejście walidacji dla właściwości funkcji zagnieżdżonej w tablicy.
Ocena ryzyka
Ryzyko przejęcia sesji innych użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście ich uprawnień, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację OpenSearch Dashboards do wersji zawierającej poprawkę oraz ograniczenie uprawnień do zapisu dashboardów tylko dla zaufanych użytkowników.
Inne podatności w OpenSearch Dashboards
Zobacz wszystkie- CVE-2026-77811Wysokie
Wtyczka dashboards-observability w OpenSearch Dashboards ma podatność polegającą na niewłaściwej walidacji danych wejściowych. Zdalny uwierzytelniony użytkownik z uprawnieniami do zapisu obiektów może wykonać dowolny JavaScript w kontekście sesji innych użytkowników poprzez przesłanie zasobu z dowolną treścią.
- CVE-2026-18420Wysokie
Wtyczka Time Series Visual Builder (TSVB) w OpenSearch Dashboards zawiera podatność polegającą na nieprawidłowej walidacji danych wejściowych, która pozwala uwierzytelnionemu zdalnemu użytkownikowi na wykonanie dowolnego kodu na serwerze przez spreparowany JSON do API wizualizacji metryk. Jest to forma zanieczyszczenia prototypu prowadząca do zdalnego wykonania kodu.
- CVE-2026-75897Wysokie
Nieprawidłowa walidacja danych wejściowych w handlerze trasy capabilities w OpenSearch Dashboards – rozmiar ładunku żądania nie jest ograniczony – może pozwolić zdalnym atakującym na spowodowanie odmowy usługi poprzez spreparowane żądanie HTTP.
Oryginalny opis (angielski, źródło NVD)
Improper input validation in the Vega expression function implementation in OpenSearch Dashboards allows a remote authenticated actor with dashboard write permissions to execute arbitrary JavaScript in the context of other users' browser sessions by saving a crafted Vega visualization. The checkForFunctionProperty validation routine failed to recurse into arrays of objects, allowing a function property nested inside an array to bypass validation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS