Elastic 报告：

漏洞汇总：Elasticsearch 版本 1.3.x 和之前版本使用 CORS 的默认配置，允许攻击者构建可能造成用户浏览器向其本地网络上的 Elasticsearch 实例发送请求的链接。这些请求可能造成数据丢失或损害。

修复汇总：用户应将“http.cors.enabled”设置为 false，或者将“http.cors.allow-origin”设置为应被允许访问的服务器（例如本地主机或托管 Kibana 的服务器）的值。完全禁用包含以前设置的 CORS 更安全，但可能不适用于所有使用情况。

检测

FreeBSD：elasticsearch -- CORS 功能中的 XSS 漏洞 (5951fb49-1ba2-11e5-b43d-002590263bf5)

medium Nessus 插件 ID 84412

未找到变更日志