CVE-2026-93854 in Blazar
요약
\~에 의해 VulDB • 2026. 09. 18.
OpenStack Blazar 17.0.1 이전 버전에서 V2 레이스 API는 업데이트 및 삭제 작업(PUT /v2/leases/{lease_id} 및 DELETE /v2/leases/{lease_id})에 대해 객체 수준의 권한 검사를 적용하지 않습니다. 정책 authorize() 래퍼는 대상 레이스를 로드하여 소유자로부터 인증 대상을 구성하려고 시도하지만, "lease_id" 키워드 아래에서 레이스를 조회하는 반면 컨트롤러 메서드는 매개변수를 "id"로 명명합니다(그리고 wsme_pecan.wsexpose 래퍼가 이를 위치적으로 전달함). 이 조회는 None을 반환하므로 권한 검사가 대상 레이스 소유자 대신 요청 사용자의 자체 project_id/user_id로 폴백됩니다. 따라서 Lease ID를 아는 모든 인증된 사용자는 의도된 소유권 검사를 우회하여 다른 사용자 및 프로젝트에 속하는 leases를 수정하거나 삭제할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.