Vulnerabilidad en Search Guard FLX de floragunn (CVE-2025-12147)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-200
Revelación de información
Fecha de publicación:
29/10/2025
Última modificación:
08/10/2026
Descripción
En las versiones 3.1.1 y anteriores de Search Guard FLX, las reglas de Seguridad a Nivel de Campo (FLS) se aplican incorrectamente en campos con valores de objeto.<br />
<br />
Cuando una regla de exclusión de FLS (p. ej., ~field) se aplica a un campo que contiene un objeto como su valor, el objeto se elimina correctamente del _source devuelto por las operaciones de búsqueda. Sin embargo, los miembros del objeto (es decir, atributos hijos) permanecen accesibles para las consultas de búsqueda. Esta exposición permite a los adversarios inferir o reconstruir el contenido original del objeto excluido.<br />
<br />
Solución alternativa - Si no puede actualizar de inmediato y se utilizan reglas de exclusión de FLS para atributos con valores de objeto (como ~object), añada una regla de exclusión adicional para los miembros del objeto (como ~object.*).
Impacto
Puntuación base 4.0
6.00
Gravedad 4.0
MEDIA