PT-2026-144979

CVE-2026-64686

Publicado

2026-11-11

Atualizado

2026-11-11

Descrição por

CVSS 3.1

5.0

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenSearch Dashboards versões 2.14.0 até 2.19.5 OpenSearch Dashboards versões 3.0.0 até 3.6.9

Description Um usuário autenticado pode realizar Server-Side Request Forgery (SSRF) através da rota 'fetchDataSourceMetaData'. Enquanto a rota 'test connection' utiliza a função isValidURL() para validar URLs de endpoint em relação às listas endpointDeniedIPs e endpointAllowlistedSuffixes, a rota 'fetchDataSourceMetaData' não realiza essa validação. Isso permite que um invasor forneça endpoints internos ou de loopback para sondar recursos de rede interna.

Recommendations Atualizar OpenSearch Dashboards versões 2.14.0 até 2.19.5 para a versão 2.19.6. Atualizar OpenSearch Dashboards versões 3.0.0 até 3.6.9 para a versão 3.7.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Thesecguy45

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados

CVE-2026-64686