CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2018-3826
https://notcve.org/view.php?id=CVE-2018-3826
In Elasticsearch versions 6.0.0-beta1 to 6.2.4 a disclosure flaw was found in the _snapshot API. When the access_key and security_key parameters are set using the _snapshot API they can be exposed as plain text by users able to query the _snapshot API. En Elasticsearch desde la versión 6.0.0-beta1 hasta la 6.2.4, se ha detectado una vulnerabilidad de divulgación en la API _snapshot. Cuando los parámetros access_key y security_key están configurados usando la API _snapshot, se pueden exponen como texto plano por los usuarios que sean capaz de lanzar una consulta a la API _snapshot. • https://discuss.elastic.co/t/elastic-stack-6-3-0-and-5-6-10-security-update/135777 https://www.elastic.co/community/security • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor CWE-311: Missing Encryption of Sensitive Data •
CVSS: 8.8EPSS: 0%CPEs: 2EXPL: 0CVE-2018-3831 – elasticsearch: Information exposure via _cluster/settings API
https://notcve.org/view.php?id=CVE-2018-3831
Elasticsearch Alerting and Monitoring in versions before 6.4.1 or 5.6.12 have an information disclosure issue when secrets are configured via the API. The Elasticsearch _cluster/settings API, when queried, could leak sensitive configuration information such as passwords, tokens, or usernames. This could allow an authenticated Elasticsearch user to improperly view these details. Elasticsearch Alerting and Monitoring en versiones anteriores a la 6.4.1 o 5.6.12 tiene una vulnerabilidad de divulgación de información cuando los secretos se configuran mediante la API. La API Elasticsearch _cluster/settings, cuando se hace una consulta, podría filtrar información de configuración sensible como contraseñas, tokens o nombres de usuario. • https://discuss.elastic.co/t/elastic-stack-6-4-1-and-5-6-12-security-update/149035 https://www.elastic.co/community/security https://access.redhat.com/security/cve/CVE-2018-3831 https://bugzilla.redhat.com/show_bug.cgi?id=1632452 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •