CVE-2026-72639 in Elasticsearch
Riassunto
di VulDB • 13/08/2026
Elasticsearch non impone un limite superiore al conteggio fornito dall'utente accettato da una opzione di evidenziazione della ricerca (highlighting), e l'allocazione derivante da tale conteggio non viene contabilizzata rispetto ad alcun circuit breaker. Un utente autenticato con soli privilegi di lettura su un singolo indicizzabile ricercabile può inviare una singola richiesta di ricerca piccola che causa il nodo a riservare una struttura dati interna eccessivamente grande. L'allocazione avviene prima che i limiti di sicurezza esistenti per l'evidenziazione siano valutati, quindi l'esaurimento della memoria solleva un errore fatale che termina il processo del nodo Elasticsearch. Ciò provoca un denial of service (DoS) per il nodo interessato e degrada il routing e la salute del cluster. Il difetto non è volumetrico e non dipende dalla dimensione dei dati indicizzati, pertanto una singola richiesta è sufficiente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.