CVE-2026-76827
ŚrednieCVSS 6.8Streszczenie
W search-indexer stwierdzono podatność, która pozwala zarejestrowanemu i uwierzytelnionemu klastrowi zarządzanemu na manipulowanie lub usuwanie danych indeksowanych innego klastra. Jest to możliwe, ponieważ ścieżki zapisu delta-sync nie ograniczają odpowiednio operacji UPDATE/DELETE do danych należących do wywołującego klastra.
Ocena ryzyka
Atakujący może naruszyć integralność danych indeksowanych innych klastrów, co może prowadzić do nieprawidłowego działania wyszukiwania lub utraty danych.
Rekomendacja
Zastosuj poprawki dostarczone przez producenta search-indexer, które ograniczają operacje UPDATE/DELETE do danych właściciela.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in search-indexer. This vulnerability allows a registered and authenticated managed cluster to tamper with or delete another cluster's indexed search data. This is possible because the delta-sync write paths in search-indexer do not properly restrict UPDATE/DELETE operations to data owned by the calling cluster. An attacker could exploit this by crafting specific user identifiers (UIDs) with a different cluster's prefix.