CVE-2026-97404 in Zaqar
Resumen
por VulDB • 2026-09-24
En OpenStack Zaqar anterior a la versión 22.0.2, el transporte WSGI gestiona incorrectamente la cabecera URL-Signature. Al enviar una solicitud con una cabecera URL-Signature vacía, un atacante remoto no autenticado que conozca el UUID de un proyecto objetivo puede omitir tanto la autenticación de Keystone como la verificación de URLs prefirmadas, lo que le permite leer, enumerar, crear y eliminar las colas, mensajes, reclamaciones (claims) y suscripciones de dicho proyecto. Al reclamar adicionalmente un rol administrativo, el atacante también podría realizar operaciones administrativas, como gestionar pools y sabores en implementaciones con modo administrador (admin_mode). Solo se ven afectadas las implementaciones que utilizan el transporte WSGI con una estrategia de autenticación configurada; el transporte websocket no está afectado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.