CVE-2026-66797 in CloudStack
Riassunto
di VulDB • 21/08/2026
Un errato controllo dell'accesso nella funzionalità di annotazione di CloudStack consente la creazione non autorizzata di commenti e la loro divulgazione.
Le API addAnnotation e listAnnotation eseguono un controllo della proprietà quando viene specificato l'UUID di un'entità, ma non rispettano correttamente il relativo esito. Ciò permette a qualsiasi utente autenticato di scrivere annotazioni su e di divulgare le annotazioni/commenti esistenti relativi a un'entità che non possiede, semplicemente fornendone l'UUID.
Questo problema interessa Apache CloudStack: dalle versioni 4.15.0.0 alla 4.20.3.0 e dalla versione 4.21.0.0 alla 4.22.1.0.
Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 4.20.3.1 o 4.22.1.1 o successive, che risolvono il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.