CVE-2026-92468

Nome do Software Vulnerável e Versões Afetadas zlt2000 microservices-platform versões anteriores a 6.0.0

Descrição Existe uma falha de bypass de autorização no serviço search-center. Atacantes autenticados podem ler qualquer índice do Elasticsearch especificando o nome do índice nas variáveis de caminho dos endpoints 'POST /search/{indexName}' e 'GET /agg/requestStat/{indexName}/{routing}'. Isso permite a recuperação de registros de usuários sensíveis e hashes de senhas de índices arbitrários, como sys user, devido à falta de controles de acesso adequados.

Recomendações Atualize o zlt2000 microservices-platform para uma versão posterior a 6.0.0. Restrinja o acesso aos endpoints 'POST /search/{indexName}' e 'GET /agg/requestStat/{indexName}/{routing}' para minimizar o risco de exploração.