CVE-2026-61400 in CloudStack
الملخص
بحسب VulDB • 21/08/2026
ثغرة عدم التعطيل الصحيح للعناصر الخاصة المستخدمة في أمر ('حقن الأوامر') في وظيفة تشغيل واستخراج التشخيصات (run and get diagnostics) التابعة لـ Apache CloudStack، وذلك بالنسبة للأنظمة الافتراضية (system VMs) والموجهات الافتراضية.
يمكن لمستخدم مُصادق عليه يمتلك الصلاحيات اللازمة لاستدعاء `getDiagnosticsData` أو `runDiagnostics` تحقيق تنفيذ للأوامر بشكل تعسفي على مثيلات النظام الافتراضي و/أو الموجه الافتراضي، حيث تعمل الأوامر بصلاحيات الجذر (root) أو كحد أدنى كمستخدم عملية التشخيص. يمثل هذا اختراقاً كاملاً للمثيل المتأثر، وقد يوفر، اعتماداً على تقسيم الشبكة، نقطة انطلاق للحركة الجانبية داخل البنية التحتية التي يديرها CloudStack، بما في ذلك الوصول إلى حركة مرور شبكة الضيوف التي يتعامل معها الموجه الافتراضي المخترق.
تُقتصر واجهات برمجة التطبيقات getDiagnosticsData و runDiagnostics افتراضياً على حسابات دور المسؤول (Admin role) فقط.
تؤثر هذه المشكلة على Apache CloudStack: من الإصدار 4.20.0.0 حتى 4.20.3.0 ومن 4.21.0.0 حتى 4.22.1.0.
يُوصى للمستخدمين بالترقية إلى الإصدارات 4.20.3.1 أو 4.22.1.1 أو ما يليها، والتي تصلح المشكلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.