CVE-2026-50222 in CloudStack
요약
\~에 의해 VulDB • 2026. 08. 21.
Apache CloudStack의 Userdata 참조 API에서 권한 없음(Missing Authorization) 및 미승인 대상에 대한 민감 정보 노출(Exposure of Sensitive Information to an Unauthorized Actor) 취약점 발생
deleteUserData, linkUserDataToTemplate, resetUserDataForVirtualMachine, deployVirtualMachine, updateVirtualMachine을 포함한 여러 userdata 관련 API에서 접근 제어 검증이 누락되거나 불충분하여, 다른 테넌트에 속한 userdata 리소스에 대한 크로스 테넌트/크로스 계정 접근이 가능할 수 있습니다.
본 이슈는 Apache CloudStack 4.18.0.0부터 4.20.3.0까지 및 4.21.0.0부터 4.22.1.0까지의 버전에 영향을 미칩니다.
4.21.0.0에서 도입된 deleteCniConfiguration API 또한 유사한 동작을 보이며 접근 검증이 누락되어 있습니다.
사용자는 해당 문제를 해결하는 버전인 4.20.3.1 또는 4.22.1.1 이후로 업그레이드할 것을 권장합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.