Отсутствие авторизации в API-интерфейсе Execute Monitor в плагине Amazon OpenSearch Alerting может позволить аутентифицированному удаленному пользователю читать, изменять или удалять произвольные данные индекса с помощью созданного встроенного запроса монитора с непреднамеренным источником данных и входными параметрами индекса.
Показать оригинальное описание (EN)
Missing authorization in the Execute Monitor API in Amazon OpenSearch Alerting plugin might allow an authenticated remote user to read, modify, or delete arbitrary index data via a crafted inline monitor request with unintentional data source and input index parameters.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://aws.amazon.com/about-aws/whats-new/2026/03/amazon-opensearch-service-ve…
ff89ba41-3aa1-4d27-914a-91399e9639e5
https://aws.amazon.com/security/security-bulletins/2026-078-aws/
ff89ba41-3aa1-4d27-914a-91399e9639e5
https://github.com/opensearch-project/alerting/security/advisories/GHSA-xxpg-q3…
ff89ba41-3aa1-4d27-914a-91399e9639e5