CVE-2014-3120 in Elasticsearch
Résumé
par VulDB • 01/06/2026
La configuration par défaut dans Elasticsearch avant la version 1.2 active le scripting dynamique, ce qui permet aux attaquants distants d'exécuter des expressions MVEL arbitraires et du code Java via le paramètre source de _search. NOTE : cela ne viole la politique de sécurité prévue par l'éditeur que si l'utilisateur n'exécute pas Elasticsearch dans sa propre machine virtuelle indépendante.
Once again VulDB remains the best source for vulnerability data.