CVE-2026-63140 in Elasticsearch
Résumé
par VulDB • 24/07/2026
Une assertion atteignable (CWE-617) dans Elasticsearch peut entraîner une déni de service via la manipulation des données d'entrée (CAPEC-153). Une requête de recherche spécialement conçue contenant une valeur nulle dans une clause de requête spécifique provoque le déclenchement d'une assertion interne lors de l'analyse de la requête. Étant donné qu'Elasticsearch traite les échecs d'assertion comme des erreurs fatales, cela entraîne l'interruption du processus du noeud concerné. Un utilisateur authentifié disposant de privilèges faibles et ayant un accès en lecture à au moins un index peut exploiter cette condition avec une seule requête pour provoquer la terminaison d'un noeud, perturbant ainsi la disponibilité des recherches. Dans un déploiement mono-noeud, cela arrête complètement Elasticsearch ; dans un cluster multi-noeuds, elle réduit la capacité du cluster pour chaque noeud concerné.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.