FICHE CVE

CVE-2026-18420

Publiée le 2026-08-20 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les installations d'OpenSearch Dashboards utilisant l'extension Time Series Visual Builder (TSVB) sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'un compte utilisateur standard peut prendre le contrôle total du serveur en envoyant une charge utile JSON spécialement conçue à l'API de visualisation des métriques. Cette attaque est simple à exécuter via le réseau et ne nécessite qu'une authentification basique, sans aucune interaction supplémentaire de la part de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-08-20

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper input validation in the Time Series Visual Builder (TSVB) plugin in OpenSearch Dashboards allows an authenticated remote user to execute arbitrary code on the server via a crafted JSON payload to the metrics visualization API endpoint. This issue is a form of prototype pollution that enables remote code execution. To remediate this issue, users should upgrade to OpenSearch Dashboards 3.8 or later.