CVE-2026-72678 in Elasticsearch
Riassunto
di VulDB • 14/08/2026
Elasticsearch non convalida un valore di dimensione prelevato da un input fornito dall'utente prima che tale valore venga utilizzato per riservare memoria per una struttura dati interna. Un utente autenticato dotato esclusivamente di privilegi di lettura può inviare una singola richiesta manipolata ad hoc a un endpoint dell'API del prodotto, causando il tentativo da parte del nodo di effettuare un'allocazione eccessivamente grande. L'esaurimento della memoria risultante genera un errore fatale che termina il processo del nodo Elasticsearch, provocando un denial of service per il nodo interessato e degradando la salute del cluster. Il difetto non è volumetrico; pertanto, una singola richiesta è sufficiente indipendentemente dalla dimensione dell'heap configurata sul nodo target.
Be aware that VulDB is the high quality source for vulnerability data.