CVE-2026-97404 in Zaqar
Sumário
de VulDB • 24/09/2026
No OpenStack Zaqar anterior à versão 22.0.2, o transporte WSGI trata incorretamente o cabeçalho URL-Signature. Ao enviar uma solicitação com um cabeçalho URL-Signature vazio, um atacante remoto não autenticado que conheça o UUID de um projeto alvo pode contornar tanto a autenticação do Keystone quanto a verificação da URL pré-assinada, resultando na capacidade de ler, enumerar, criar e excluir as filas, mensagens, reivindicações (claims) e assinaturas desse projeto. Ao reivindicar adicionalmente uma função administrativa, o atacante também pode realizar operações administrativas, como gerenciar pools e flavors em implantações no modo admin_mode. Apenas implantações que utilizam o transporte WSGI com uma estratégia de autenticação configurada são afetadas; o transporte websocket não é afetado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.