Elastic 報告：

弱點摘要：Elasticsearch 1.3.x 版和其之前的版本具有預設 CORS 組態，會允許攻擊者製作連結，而該連結可造成使用者的瀏覽器傳送要求至其本機網路上的 Elasticsearch 執行個體。這些要求可造成資料缺乏或入侵。

修復摘要：使用者不應將 ‘http.cors.enabled’ 設為 false，也不應將 ‘http.cors.allow-origin’ 設為允許存取的伺服器值，例如 localhost 或主控 Kibana 的伺服器。完全停用含有先前設定的 CORS 較為安全，但是可能不適用於所有情況。

偵測

FreeBSD：elasticsearch -- CORS 功能的 XSS 弱點 (5951fb49-1ba2-11e5-b43d-002590263bf5)

medium Nessus Plugin ID 84412

找不到變更記錄