Elastic による報告：

脆弱性のサマリー：Elasticsearch バージョン 1.3.x およびそれ以前には、CORS 用のデフォルトの構成があり、攻撃者がリンクを細工して、ユーザーのブラウザからローカルネットワーク上の Elasticsearch のインスタンスにリクエストを送信させる可能性があります。これらのリクエストにより、データが消失したり、データがセキュリティ上のリスクにさらされたりする可能性があります。

修正のサマリー：ユーザーは「http.cors.enabled」を false に設定するか、「http.cors.allow-origin」を localhost または Kibana をホストするサーバーなどアクセスが許可されるべきサーバーの値に設定すべきです。以前の設定で完全に CORS を無効にすればよりセキュアになりますが、ユーザーによってはこれが適切でないこともあります。

Elastic reports :

Vulnerability Summary: Elasticsearch versions 1.3.x and prior have a default configuration for CORS that allows an attacker to craft links that could cause a user's browser to send requests to Elasticsearch instances on their local network. These requests could cause data loss or compromise.

Remediation Summary: Users should either set 'http.cors.enabled' to false, or set 'http.cors.allow-origin' to the value of the server that should be allowed access, such as localhost or a server hosting Kibana. Disabling CORS entirely with the former setting is more secure, but may not be suitable for all use cases.

Elastic 报告：

漏洞汇总：Elasticsearch 版本 1.3.x 和之前版本使用 CORS 的默认配置，允许攻击者构建可能造成用户浏览器向其本地网络上的 Elasticsearch 实例发送请求的链接。这些请求可能造成数据丢失或损害。

修复汇总：用户应将“http.cors.enabled”设置为 false，或者将“http.cors.allow-origin”设置为应被允许访问的服务器（例如本地主机或托管 Kibana 的服务器）的值。完全禁用包含以前设置的 CORS 更安全，但可能不适用于所有使用情况。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 1.4.0.Beta1 之前的 Elasticsearch 中CORS 功能的跨站脚本 (XSS) 漏洞允许远程攻击者通过不明矢量注入任意 Web 脚本或 HTML。 (CVE-2014-6439)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 1.4.0.Beta1 版之前的 Elasticsearch 之 CORS 功能中的跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過不明向量插入任意 Web 指令碼或 HTML。 (CVE-2014-6439)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Cross-site scripting (XSS) vulnerability in the CORS functionality in Elasticsearch before 1.4.0.Beta1     allows remote attackers to inject arbitrary web script or HTML via unspecified vectors. (CVE-2014-6439)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.4.0.Beta1 より前の Elasticsearch の CORS 機能におけるクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が、詳細不明なベクトルを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。CVE-2014-6439

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Elastic 報告：

弱點摘要：Elasticsearch 1.3.x 版和其之前的版本具有預設 CORS 組態，會允許攻擊者製作連結，而該連結可造成使用者的瀏覽器傳送要求至其本機網路上的 Elasticsearch 執行個體。這些要求可造成資料缺乏或入侵。

修復摘要：使用者不應將 ‘http.cors.enabled’ 設為 false，也不應將 ‘http.cors.allow-origin’ 設為允許存取的伺服器值，例如 localhost 或主控 Kibana 的伺服器。完全停用含有先前設定的 CORS 較為安全，但是可能不適用於所有情況。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84412	FreeBSD：elasticsearch -- CORS 機能の中の XSS の脆弱性（5951fb49-1ba2-11e5-b43d-002590263bf5）	Nessus	FreeBSD Local Security Checks	2015/6/26	2021/1/6	medium
84412	FreeBSD : elasticsearch -- XSS vulnerability in the CORS functionality (5951fb49-1ba2-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2021/1/6	medium
84412	FreeBSD：elasticsearch -- CORS 功能中的 XSS 漏洞 (5951fb49-1ba2-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2021/1/6	medium
271641	Linux Distros 未修补的漏洞：CVE-2014-6439	Nessus	Misc.	2025/10/27	2025/10/27	medium
271641	Linux Distros 未修補弱點：CVE-2014-6439	Nessus	Misc.	2025/10/27	2025/10/27	medium
271641	Linux Distros Unpatched Vulnerability : CVE-2014-6439	Nessus	Misc.	2025/10/27	2025/10/27	medium
271641	Linux Distros のパッチ未適用の脆弱性: CVE-2014-6439	Nessus	Misc.	2025/10/27	2025/10/27	medium
84412	FreeBSD：elasticsearch -- CORS 功能的 XSS 弱點 (5951fb49-1ba2-11e5-b43d-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/26	2021/1/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium