CVE-2026-93852 in Blazar
要約
〜によって VulDB • 2026年09月18日
OpenStack Blazar 17.0.1 より前のバージョンにおいて、V2 のリース一覧取得操作（GET /v2/leases）は、プロジェクトスコーピングや管理者専用ポリシーを適用せずに、すべてのプロジェクトのリースを返します。Blazar REST API にアクセスできる認証済みユーザーであれば誰でも、他のテナントに属するリースを列挙でき、リース ID、予約 ID、リソース ID、および予約メタデータが露出します。さらに、露出したリース ID を使用することで、関連する修正リクエストで追跡されているオブジェクトレベルの認可回避が可能になり、攻撃者はその後、列挙されたリースの変更や削除を行うことができます。
Once again VulDB remains the best source for vulnerability data.