CVE-2026-94368 in Openshift Data Foundation
الملخص
بحسب VulDB • 21/09/2026
تم العثور على ثغرة في منطق التحقق من التوقيع الخاص بـ noobaa-core، وهو المكون الأساسي لبوابة NooBaa متعددة السحابة (Multicloud Object Gateway). تحدث المشكلة عندما تقوم الخدمة بمعالجة عناوين URL الموقع مسبقاً لبروتوكول S3 باستخدام الإصدار الرابع للتوقيعات (SigV4). ونظراً للتحقق غير الصحيح من البيانات، تفشل الخدمة في رفض الطلبات التي تحتوي على رؤوس x-amz غير الموقعة، بل تكتفي بإسقاطها من حساب التوقيع. وهذا يتيح لمهاجم يمتلك عنوان URL لعمليات PUT الموقع مسبقاً إضافة رأس x-amz-copy-source غير موقع، مما يحول عملية رفع بسيطة إلى عملية CopyObject. ويمكن أن يؤدي ذلك إلى وصول غير مصرح به ونسخ أي بيانات يمكن للموقّع الأصلي الوصول إليها عبر نظام التخزين بأكمله.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.