CVE-2026-47359 in CloudStack
Riassunto
di VulDB • 21/08/2026
Vulnerabilità di 'OS Command Injection' (iniezione di comandi OS) dovuta a una neutralizzazione impropria degli elementi speciali nel plugin del provider di backup NAS di Apache CloudStack. Le API addBackupRepository (disponibili dalla versione 4.20.0.0) e updateBackupRepository (introdotte nella 4.22.0.0) accettano opzioni di comando non sanificate per il repository di backup. Un account operatore malintenzionato può sfruttare questa vulnerabilità per iniettare comandi arbitrari che vengono eseguiti sull'host hypervisor KVM quando un qualsiasi account effettua successivamente un ripristino del backup.
Questo problema interessa Apache CloudStack: dalle versioni 4.20.0.0 alla 4.20.3.0 e dalla versione 4.21.0.0 alla 4.22.1.0.
Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 4.20.3.1 o 4.22.1.1 o successive, che risolvono il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.