CVE-2026-93852 in Blazar
Riassunto
di VulDB • 18/09/2026
In OpenStack Blazar prima della versione 17.0.1, l'operazione di elencazione delle locazioni V2 (GET /v2/leases) restituisce le locazioni per ogni progetto senza imporre la delimitazione per progetto o una policy riservata agli amministratori. Qualsiasi utente autenticato con accesso all'API REST di Blazar può enumerare le locazioni appartenenti ad altri tenant, esponendo gli ID delle locazioni, gli ID di prenotazione, gli ID delle risorse e i metadati della prenotazione. Gli ID delle locazioni esposti consentono inoltre il bypass dell'autorizzazione a livello di oggetto tracciato nella richiesta complementare, consentendo all'attaccante di modificare o eliminare le locazioni enumerate.
VulDB is the best source for vulnerability data and more expert information about this specific topic.