Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-84942 là lỗ hổng Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') ảnh hưởng tới OpenSearch Dashboards (phiên bản bị ảnh hưởng: v2.0.0 – ≤ v3.5.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.3. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Việc kiểm tra input không đúng cách trong phần triển khai hàm biểu thức Vega của OpenSearch Dashboards cho phép một tác nhân từ xa đã xác thực, có quyền ghi dashboard, thực thi JavaScript tùy ý trong context của các phiên trình duyệt của người dùng khác bằng cách lưu một Vega visualization được tạo thủ công. Routine xác thực checkForFunctionProperty không đệ quy vào các array chứa object, cho phép một function property nằm bên trong array vượt qua bước xác thực.
Lỗi nằm trong cơ chế xác thực function của triển khai biểu thức Vega trong OpenSearch Dashboards. Routine checkForFunctionProperty kiểm tra các object nhưng không đệ quy vào các object nằm bên trong array, vì vậy một thuộc tính function được lồng trong array có thể vượt qua kiểm tra. Tác nhân từ xa đã xác thực cần có quyền ghi dashboard hoặc visualization để lưu một Vega visualization được tạo thủ công; khi visualization được người dùng khác mở trong trình duyệt, JavaScript tùy ý có thể chạy trong context của phiên trình duyệt đó. Pull request khắc phục lỗi bổ sung xử lý array và test tương ứng, đồng thời advisory cho biết các bản sửa có thêm hardening cho việc xác thực biểu thức Vega. Bằng chứng hiện có không mô tả payload cụ thể, endpoint cụ thể, API trình duyệt bị lạm dụng hoặc khả năng thực thi mã trực tiếp trên máy chủ.
Lỗi có thể bị tiếp cận qua mạng và yêu cầu tác nhân đã xác thực với quyền ghi dashboard hoặc visualization. Record mô tả attack complexity là thấp và yêu cầu passive user interaction, tức là phiên trình duyệt của người dùng khác phải tương tác với hoặc hiển thị visualization đã lưu; chi tiết về hành động chính xác của nạn nhân không được công bố. Record không xác định public exploit và không cung cấp trạng thái khẳng định về việc khai thác thực tế. Việc không có thông tin đó không chứng minh rằng chưa từng có hoạt động khai thác.
Lỗi cho phép JavaScript tùy ý chạy trong context trình duyệt của người dùng khác khi họ tương tác với visualization đã lưu. Do mã chạy trong phiên của nạn nhân, tác động thực tế có thể mở rộng đến dữ liệu, dashboard và thao tác mà người dùng đó được phép truy cập, nhưng record không xác định quyền cụ thể của từng vai trò. Lỗi không yêu cầu quyền quản trị toàn hệ thống, nhưng yêu cầu quyền ghi dashboard hoặc visualization trước đó. Evidence hiện có không cho thấy server-side code execution, ảnh hưởng trực tiếp đến availability hoặc việc vượt qua xác thực máy chủ.
Một visualization độc hại có thể được lưu lại và kích hoạt khi những người dùng khác sử dụng dashboard, thay vì chỉ ảnh hưởng đến trình duyệt của tác nhân tạo visualization. JavaScript chạy trong context của phiên nạn nhân có thể, tùy theo quyền của phiên đó, đọc dữ liệu được hiển thị hoặc thực hiện các thao tác thay mặt người dùng; đây là hậu quả có thể xảy ra, không phải bằng chứng về một vụ rò rỉ cụ thể. Rủi ro tập trung vào confidentiality và integrity của các phiên trình duyệt bị tác động, trong khi evidence hiện có không xác lập khả năng thực thi mã phía máy chủ hoặc gây mất availability cho OpenSearch.
checkForFunctionProperty và các hardening liên quan đến Vega expression validation vào codebase, sau đó chạy bộ test phù hợp trước khi triển khai.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
