Към съдържанието
Търсене

CVE-2026-102408: Elasticsearch, отказ на услуга

4.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Inefficient Regular Expression Complexity (CWE-1333) in Elasticsearch can lead to denial of service via Regular Expression Exponential Blowup (CAPEC-492). The ES|QL CHUNK function's recursive chunking strategy accepts a list of user-supplied regular expressions used as text-splitting separators, without validating their computational complexity or bounding their execution time. An authenticated user with read access to any text-based index can submit a specially crafted regular expression that triggers catastrophic backtracking, consuming excessive CPU on Elasticsearch worker threads and degrading query throughput for other tenants on the affected node. The cluster does not crash as a result of this issue.

Засегнати продукти

  • Elastic Elasticsearch: 8.19.0 до 8.19.21; 9.1.0 до 9.3.8; 9.4.0 до 9.4.7; 9.5.0 до 9.5.4

Вид слабост

История

  • 6 октомври 2026 Публикувано

Други уязвимости в Elastic Elasticsearch

Първоизточници

CVE-2026-102408: Elasticsearch, отказ на услуга | freedomonline.bg