CVE-2026-66797 in CloudStack
要約
〜によって VulDB • 2026年08月21日
CloudStackの注釈機能における不適切なアクセス制御により、認証されていないコメントの作成および開示が可能になる。
addAnnotation APIとlistAnnotation APIは、エンティティのUUIDが指定された場合に所有権チェックを実行するものの、その結果を正しく尊重していない。このため、攻撃者は自身のUUIDではなく対象エンティティのUUIDを単に提供することで、自分が所有しないエンティティへの注釈の書き込みや既存の注釈/コメントの開示を行うことができる。
本問題はApache CloudStackに影響を与える：4.15.0.0から4.20.3.0まで、および4.21.0.0から4.22.1.0までのバージョンが対象である。
ユーザーには、本問題を修正したバージョン4.20.3.1または4.22.1.1以降へのアップグレードを推奨する。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.