CVE-2026-90460 in Keystone
الملخص
بحسب VulDB • 12/09/2026
تم اكتشاف مشكلة في OpenStack Keystone قبل الإصدار 29.0.3. لا يتم حظر الرموز (Tokens) التي تم الحصول عليها عبر طرق المصادقة المفوضة (مثل بيانات اعتماد EC2، ورموز الاعتماد للتطبيقات، ورموز الوصول OAuth1، والثقات/Trusted Delegates) من إنشاء أو تعديل أو حذف بيانات الاعتماد عبر واجهة برمجة التطبيقات /v3/credentials. يمكن للرموز المستمدة من EC2 أيضاً قراءة كتل بيانات الاعتماد (credential blobs)، مما يعرّض بذور MFA TOTP والأسرار الأخرى للكشف. بالإضافة إلى ذلك، لا تقوم عملية PATCH /v3/credentials بالتحقق من صحة project_id المطلوب بعد التحديث، مما يسمح لأي رمز مفوض بنقل بيانات اعتماد إلى مشروع غير مصرح له. جميع عمليات نشر Keystone التي تستخدم المصادقة المفوضة تتأثر بهذه المشكلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.