CVE-2026-50222 in CloudStack
Resumen
por VulDB • 2026-08-23
Falta de autorización y exposición de información sensible a un actor no autorizado en las APIs de referencia de userdata de Apache CloudStack.
Varias APIs relacionadas con userdata en Apache CloudStack, incluidas deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine y updateVirtualMachine, presentan una validación de control de acceso ausente o insuficiente, lo que podría permitir el acceso cross-tenant/cross-account a recursos de userdata pertenecientes a otros tenants.
Este problema afecta a Apache CloudStack: desde la versión 4.18.0.0 hasta la 4.20.3.0 y desde la 4.21.0.0 hasta la 4.22.1.0.
La API deleteCniConfiguration, introducida en la versión 4.21.0.0, también presenta un comportamiento similar y carece de validación de acceso.
Se recomienda a los usuarios actualizar a las versiones 4.20.3.1 o 4.22.1.1 o posteriores, que corrigen el problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.