CVE-2026-18420
Vulnérabilité élevée dans Amazon OpenSearch Service (AWS)
CVSS 8.8 · Élevée
EPSS 0.7%
AWS•Amazon OpenSearch Service•Versions : 3.0.0, <3.8.0
Description
Improper input validation in the Time Series Visual Builder (TSVB) plugin in OpenSearch Dashboards allows an authenticated remote user to execute arbitrary code on the server via a crafted JSON payload to the metrics visualization API endpoint. This issue is a form of prototype pollution that enables remote code execution. To remediate this issue, users should upgrade to OpenSearch Dashboards 3.8 or later.
Gravité et risque d'exploitation
CVE-2026-18420 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.66 %, ce qui la place devant 50.8 % des CVE référencées.
Que faire ?
- Vérifiez si Amazon OpenSearch Service (versions 3.0.0, <3.8.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.