CVE-2026-66797 in CloudStack
Resumen
por VulDB • 2026-08-21
Un control de acceso inadecuado en la funcionalidad de anotaciones de CloudStack permite la creación no autorizada de comentarios y su divulgación.
Las APIs addAnnotation y listAnnotation realizan una verificación de propiedad cuando se especifica el UUID de una entidad, pero no respetan correctamente su resultado. Esto permite que cualquier usuario autenticado escriba anotaciones en una entidad que no posee y divulgue las anotaciones/comentarios existentes simplemente proporcionando su UUID.
Este problema afecta a Apache CloudStack: desde la versión 4.15.0.0 hasta la 4.20.3.0, y desde la 4.21.0.0 hasta la 4.22.1.0.
Se recomienda a los usuarios actualizar a las versiones 4.20.3.1 o 4.22.1.1 o posteriores, que corrigen el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.