CVE-2026-50222 in CloudStack
Zusammenfassung
von VulDB • 22.08.2026
Fehlende Autorisierung und Offenlegung sensibler Informationen für einen unbefugten Akteur in den Userdata-Referenz-APIs von Apache CloudStack.
Mehrere mit Userdaten verbundene APIs in Apache CloudStack, darunter deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine und updateVirtualMachine, weisen eine fehlende oder unzureichende Zugriffskontrollvalidierung auf, was potenziell den mandanten- bzw. kontenübergreifenden Zugriff auf Userdaten-Ressourcen ermöglicht, die anderen Mandanten gehören.
Dieses Problem betrifft Apache CloudStack: von 4.18.0.0 bis 4.20.3.0 sowie von 4.21.0.0 bis 4.22.1.0.
Die in Version 4.21.0.0 eingeführte API deleteCniConfiguration zeigt ebenfalls ein ähnliches Verhalten und verfügt über keine Zugriffskontrollvalidierung.
Benutzern wird empfohlen, auf die Versionen 4.20.3.1 oder 4.22.1.1 oder höher zu aktualisieren, welche das Problem beheben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.