CVE-2026-90446

Nome do Software Vulnerável e Versões Afetadas Elasticsearch (versões afetadas não especificadas)

Descrição Um endpoint de API aceita um valor fornecido pelo usuário e o interpola diretamente no caminho de uma requisição de backend para o armazenamento de dados de pesquisa e análise subjacente, sem restringir seu conteúdo. Isso permite que um invasor autenticado substitua um caminho de backend arbitrário, utilizando as credenciais de serviço elevadas da aplicação para acessar endpoints internos não pretendidos. Isso pode permitir a enumeração ou a leitura não autorizada de dados administrativos e de configuração interna do armazenamento de dados de backend.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.