Veille sécuritéBackend & données
P4Moyenne
Dans certaines conditions, Elasticsearch peut partager des résultats de requête mis en cache entre utilisateurs soumis à des restrictions de sécurité au niveau des champs et utilisateurs sans ces restrictions. Un utilisateur restreint peut en déduire quels documents correspondent à une valeur de champ masquée et peut aussi entraîner des résultats incomplets pour des utilisateurs pleinement autorisés.
Elasticsearch
IdentifiantCVE-2026-115710
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.19.24, 9.4.9, 9.5.6
Source : NVD — CVE-2026-115710
Analyse technique
La divulgation suppose qu’un utilisateur disposant d’un accès complet ait récemment exécuté la même requête sur le même shard.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-11-03 à 17:17:55Z, soit 2026-11-03T19:17:55+02:00, dans la période demandée. La mise à jour NVD du même jour est rattachée à cette publication, sans événement distinct retenu.
ImpactDivulgation indirecte d’informations et résultats de recherche incomplets.
Versions affectées8.9.0–8.19.23; 9.0.0–9.4.8; 9.5.0–9.5.5
Version corrigée8.19.24, 9.4.9, 9.5.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.2 · CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
Publication2026-11-03T19:17:55+02:00
Mise à jour2026-11-03T22:32:50+02:00
Action recommandée
Mettre à niveau vers Elasticsearch 8.19.24, 9.4.9 ou 9.5.6, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).