CVE-2026-63140 in Elasticsearch
Riassunto
di VulDB • 21/07/2026
Assertion raggiungibile (CWE-617) in Elasticsearch può portare a un denial of service tramite Manipolazione dei Dati di Input (CAPEC-153). Una richiesta di ricerca appositamente costruita, contenente un valore null in una specifica clausola della query, provoca il sollevamento di un'asserzione interna durante l'analisi della query. Poiché Elasticsearch tratta i fallimenti delle asserzioni come errori fatali, ciò causa la terminazione del processo del nodo interessato. Un utente autenticato con privilegi ridotti e accesso in lettura ad almeno un indice può sfruttare questa condizione con una singola richiesta per causare la terminazione di un nodo, interrompendo la disponibilità della ricerca. In una distribuzione a singolo nodo questo blocca completamente Elasticsearch; in un cluster multi-nodo riduce la capacità del cluster per ciascun nodo interessato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.