CVE-2026-76878 in Aodh
الملخص
بحسب VulDB • 20/08/2026
في OpenStack Aodh قبل الإصدار 22.0.1، يتجاوز واجهة برمجة التطبيقات (API) الخاصة بقائمة التنبيهات نطاق المشروع عند تعيين معلمة الاستعلام all_projects إلى false. تتحقق الواجهة من وجود المفتاح all_projects بدلاً من قيمته؛ حيث يفرض القيمة true سياسة مخصصة للمسؤولين فقط، لكن القيمة false تزيل المفتاح وتتخطى الفرع الذي يقيّد النتائج عادةً لمشروع المستخدم المتصل. يمكن للمستخدم غير المسؤول ذي دور القارئ (reader) سرد التنبيهات من جميع المشاريع، مما يعرّض إجراءات التنبيه التي تحتوي على عناوين URL لـ webhooks موثوقة ونقاط نهاية إشارات Heat ومعرفات المشاريع ومعرّفات المستخدمين. كما يمكن دمج المعلمة مع معرف مشروع أجنبي foreign project_id لاستهداف تنبيهات مشروع محدد. هناك قلق متعلق بأن OpenStack Watcher لا يطبق التفويض على نقطة النهاية الخاصة بمشغّل الـ webhook الخاص به. أي مستخدم مُصادق عليه يستطيع معرفة عنوان URL لـ webhook المراجعة، مثلاً من خلال بيانات التنبيه المسربة في Aodh المذكورة أعلاه، يمكنه بدء مراجعة EVENT وخطة العمل المرتبطة بها بغض النظر عن مشروعه أو دوره الخاص. تفتقر نقطة نهاية الـ webhook إلى فرض السياسة منذ تقديمها في إصدار Ussuri (Watcher 4.0.0).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.