CVE-2026-66797 in CloudStack
Zusammenfassung
von VulDB • 21.08.2026
Unzulässige Zugriffskontrolle in der Annotation-Funktionalität von CloudStack ermöglicht die unbefugte Erstellung und Offenlegung von Kommentaren.
Die APIs `addAnnotation` und `listAnnotation` führen eine Eigentumsprüfung durch, wenn die UUID einer Entität angegeben wird, respektieren das Ergebnis dieser Prüfung jedoch nicht korrekt. Dies ermöglicht es jedem authentifizierten Benutzer, Annotationen an einer Entität zu schreiben, über die er nicht verfügt, sowie bestehende Annotationen/Kommentare auf dieser Entität offenzulegen, indem einfach deren UUID bereitgestellt wird.
Dieses Problem betrifft Apache CloudStack: von Version 4.15.0.0 bis 4.20.3.0 und von 4.21.0.0 bis 4.22.1.0.
Benutzern wird empfohlen, auf die Versionen 4.20.3.1 oder 4.22.1.1 oder höher zu aktualisieren, welche das Problem beheben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.