CVE-2026-72683
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Usterka w Elasticsearch pozwala uwierzytelnionemu użytkownikowi z uprawnieniami wymaganymi do wywołania punktu końcowego simulate pipeline API na wysłanie żądania, które powoduje utworzenie samoodnoszącej się struktury danych. Gdy specyficzny wewnętrzny komponent później przetwarza tę strukturę, operacja rekurencyjnie zapętla się bez ograniczeń i podnosi błąd krytyczny, który nie jest obsługiwany przez otaczającą ścieżkę wykonania, kończąc proces węzła i powodując denial of service.
Ocena ryzyka
Ryzyko awarii węzła Elasticsearch i przerwania dostępności usług.
Rekomendacja
Zaleca się aktualizację Elasticsearch do wersji z poprawką oraz ograniczenie dostępu do punktu końcowego simulate pipeline.
Oryginalny opis (angielski, źródło NVD)
A flaw in Elasticsearch allows an authenticated user with the privileges required to invoke the simulate pipeline API endpoint (https://www.elastic.co/docs/api/doc/elasticsearch/operation/operation-ingest-simulate) to submit a request that causes a self-referential data structure to be created. When a specific internal component later processes that structure, the operation recurses without bound and raises a fatal error that is not handled by the surrounding execution path, terminating the affected node process and resulting in a denial of service.